urf · H9A5URF2 · 2022-05-18 00:00:00 — Ett alternativ skulle vara att tjänsterna upphandlades av privata leverantörer som inte står under JO:s tillsyn. Några tvingande föreskrifter som ålägger JO att köpa dessa tjänster av finns inte. Genom att Riks- dagsförvaltningen debiterar för tjänsterna torde det finnas visst ekonomiskt utrymme för JO att vända sig till andra leverantörer. Kommittén har dock inte genomfört någon analys av avgifternas marknadsmässighet. Sådana lösningar skulle kunna medföra att andra frågor väcks, bl.a. vad gäller säkerhet och tillgången till JO:s information. Verksamhetens behov av stabilitet och skydd skulle således behöva beaktas särskilt även i de fall andra aktörer används för att tillgodose JO:s behov av administrativa tjänster. Om principen skulle vara att JO inte får använda tjänster som tillhandahålls av myndigheter som står under JO:s tillsyn, skulle JO antagligen också vid upphandling av tjänster vara begränsad från att använda sig av olika statliga tjänster på upphandlingsområdet, såsom stöd från och Statens inköpscentral vid Kammarkollegiet. Att införa en sådan allmän princip torde ha en begränsad påverkan på JO:s oberoende. Även om JO skulle säga upp den aktuella överenskommelsen, antingen för att utföra fler tjänster i egen regi eller upphandla dem, kvarstår det inflytande som och riksdagsstyrelsen har genom de beslut som kan fatta. Det rör sig om beslut om bl.a. planerings- direktiv, anslagsdirektiv, ingående av kollektivavtal samt föreskrifter på det personaladministrativa området och arkivföreskrifter m.m. I vissa fall utgör det i förlängningen en del av den ställning som JO har i förhållande till riks- dagen. I dessa frågor, där besluten har sin grund i lag- reglerade uppdrag och befogenheter och inte i någon överenskommelse, är JO bunden av fattade beslut. skulle t.ex. genom beslut om ändrade anslagsdirektiv kunna hindra att JO tillfördes medel för att bedriva verksamheten. På en praktisk nivå skulle således svårigheterna i förhållande till självständigheten och det institutionella oberoendet kvarstå i vissa delar. I grunden framstår det som lämpligt och nödvändigt att Riksdagsför- valtningen även utför dessa författningsreglerade uppgifter åt JO. Den administrativa samverkan som finns mellan JO och Riksdagsförvalt- ningen medför således att JO till viss del är beroende av Riksdagsförvalt- Det framstår dock som osannolikt att det skulle uppkomma en situation där rådande förhållande har en negativ effekt på JO:s tillsynsverk- Som en myndighet under , med befogenhet att meddela bl.a. direktiv och föreskrifter, är JO ändå inte helt självständig och oberoende i relation till . hållande skulle inte förändras av att de administrativa tjänsterna utfördes i egen regi eller upphandlades av privata utförare. Vid en avvägning framstår därför den nuvarande lösningen som godtagbar. 5.4 Förhållandet till vissa myndigheter med tillsynsfunktioner JO utövar tillsyn över bl.a. statliga och kommunala myndigheter. Bland dessa återfinns flera myndigheter som i sin tur utövar tillsyn över JO inom sina respektive sakområden. Vid sidan av sitt uppdrag som extraordinär tillsynsmyndighet utgör JO, i likhet med andra myndigheter, bl.a. arbetsgivare, upphandlande myndighet och personuppgiftsbehandlare. Den lagstiftning som reglerar sådana för- hållanden är även tillämplig på JO som myndighet, såvida inte uttryckliga undantag intagits i regelverket. I likhet med andra aktörer i samhället kan därför myndighetens agerande leda till ingripanden från bl.a. Integritets- skyddsmyndigheten ()277, , Diskrimineringsombuds- mannen (DO) och som tilldelats tillsynsfunktioner inom sina respektive områden. Samtliga dessa myndigheter ligger under regeringen och styrs i regel genom instruktioner i förordningsform och regleringsbrev, även om de regelverk som myndigheterna ska tillämpa har sin grund i lag. Vissa av myndigheterna har bemyndigats att meddela föreskrifter som är bindande även för JO. De konstitutionella aspekter som de nu nämnda förhållandena kan innebära har behandlats i olika sammanhang. Bland annat har riksdagsstyrelsen, i sin framställning till Kompletteringar till regelverket om säkerhets- skydd i och dess myndigheter (framst. 2021/22:RS5), inte gått vidare med ett förslag att Säkerhetspolisen ska granska JO:s säkerhetsskydd, bl.a. utifrån invändningar om lämpligheten i att en polisiär myndighet under regeringen ges ett mandat att granska säkerhetsskyddet hos riksdagsmyndig- heter som har till uppdrag att kontrollera regeringsmakten.278 Den tillsyn som , , och utövar utgör i huvudsak inte ingripanden i eller påverkan på ombudsmännens egentliga tillsynsverksamhet och beslutsfattande. Tillsynen och de sanktioner 277 Integritetsskyddsmyndigheten benämndes fram till Datainspektionen. I texten används den nya benämningen även vid förhållanden som ägde rum före namn- ändringen. 278 Se framst. 2021/22:RS5 s. 40 f. Jfr avsnitt 2.5.7. Riksdagsstyrelsen har i stället föreslagit bl.a. att granskningen ska initieras av respektive myndighet under , men att dessa också ska vara skyldiga att samråda med Säkerhetspolisen vid granskningen. Riksdags- styrelsens förslag behandlas i betänkande 2021/22:KU19. som kan aktualiseras är i regel av sådant slag att de träffar alla tillsynsobjekt på samma sätt. Den fråga som uppkommer är dock om dessa myndigheters tillsynsbefogenheter kan ha direkta konsekvenser för ombudsmännens förut- sättningar att bedriva sin verksamhet. Det finns därför skäl att även analysera i vad mån sådana myndigheters verksamhet kan utgöra hinder för ombuds- männens verksamhet och överväga på vilket sätt gällande ordning behöver ändras eller anpassas för att säkerställa ombudsmännens självständighet och institutionella oberoende. Den allmänna dataskyddsförordningen279 syftar bl.a. till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter (artikel 1.2). Förordningen började tillämpas 2018 och ersatte för del den tidigare gällande personuppgiftslagen (1998:204), förkortad PUL. Den nya förordningen ställer högre krav på den som behandlar personuppgifter, bl.a. genom ett tydligare krav på rättslig grund för eller samtycke från den registrerade till all behandling av uppgifter. Genom förord- ningen infördes också betydligt kraftigare sanktioner, främst genom olika sanktionsavgifter, för den som bryter mot regelverket. Dataskyddsförordningen omfattar inte all personuppgiftsbehandling i sam- hället. Bland annat omfattas inte behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (se artikel Sådan behandling omfattas i stället av det s.k. dataskyddsdirektivet280 som har genomförts i svensk rätt i huvudsak genom brottsdatalagen (2018:1177). Hos JO behandlas personuppgifter såväl i tillsynsverksamheten som i myndighetens övriga verksamhet. JO ska därmed tillämpa dataskyddsförord- ningen i den utsträckning behandlingen omfattas av förordningens tillämp- ningsområde. Eftersom JO i vissa fall även har en roll på det straffrättsliga området som åklagare omfattas delar av JO:s personuppgiftsbehandling i stället av brottsdatalagen. JO:s behandling av personuppgifter, stöd för denna och dess begränsningar behandlas nedan i avsnitt 7.4. Enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättig- heterna har var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och 279Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförord- ning). 280Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska vidare kontrollera att dessa regler följs. I dataskyddsförordningen föreskrivs att medlemsstaterna ska inrätta en eller flera myndigheter som ska ansvara för att övervaka tillämpningen av förord- ningen (artikel 51.1). I fråga om personuppgiftsbehandling på det område som omfattas av brottsdatalagen finns motsvarande bestämmelse i artikel 41.1 i dataskyddsdirektivet. Tillsyn över personuppgiftsbehandling enligt dataskyddsförordningen I dataskyddsförordningen regleras formerna för inrättandet av en tillsyns- myndighet, dess behörigheter och uppgifter (artikel 53–57). I fråga om tillsynsmyndighetens behörighet anges bl.a. att myndigheten ska vara behörig att inom sin egen medlemsstats territorium utföra de uppgifter och utöva de befogenheter som tilldelas den enligt förordningen. Tillsyns- myndigheten ska dock inte vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet. (Se artikel 55.) IMY:s uppgift enligt dess instruktion är bl.a. att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter och att utöva tillsyn över kamerabevakning enligt kamera- bevakningslagen (2018:1200). Myndigheten är vidare den tillsynsmyndighet som varje medlemsstat ska inrätta enligt dataskyddsförordningen och data- skyddsdirektivet (1 och 2 a § förordningen [2007:975] med instruktion för och 3 § förordningen [2018:219] med komplet- terande bestämmelser till EU:s dataskyddsförordning). Dataskyddsförordningen och andra författningar på området föreskriver ett antal skyldigheter för de som är ansvariga för behandlingen av personupp- gifterna och deras biträden. ska som tillsynsmyndighet bevaka att dessa uppfylls. För att underlätta denna tillsyn ska den personuppgiftsansvarige enligt dataskyddsförordningen anmäla en personuppgiftsincident till tillsyns- myndigheten utan onödigt dröjsmål och, om så är möjligt, inte senare än efter att ha fått vetskap om den (artikel 33). Med personuppgifts- incident avses en säkerhetsincident som leder till oavsiktlig eller olaglig för- störing, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4). JO gjorde två sådana anmälningar . Den som är ansvarig för behandlingen av personuppgifterna är också skyldig att föra ett register över behandling som utförts under dennes ansvar. Registret ska på begäran tillgängliggöras för tillsynsmyndigheten. (Se artikel 30.) I förordningen finns även en allmän föreskrift att den personuppgifts- ansvarige på begäran ska samarbeta med tillsynsmyndigheten vid utförandet av dennes uppgifter (artikel 31). Den personuppgiftsansvarige ska utnämna ett dataskyddsombud om behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet. Dataskydds- ombudet ska bl.a. ha till uppgift att informera och ge råd till den person- uppgiftsansvarige om vilka skyldigheter som finns och att övervaka att data- skyddsförordningen följs. Ombudets kontaktuppgifter ska offentliggöras och meddelas tillsynsmyndigheten. (Se artikel 37.1 a, 37.7 och 39 i dataskydds- förordningen.) JO har utnämnt ett dataskyddsombud och meddelade kontaktuppgifter till sitt dataskyddsombud . I dataskyddsförordningen föreskrivs vidare ett antal befogenheter för till- synsmyndigheten (artikel 58 och 83). Bland annat ska tillsynsmyndigheten från den personuppgiftsansvarige få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter (artikel 58.1 a och e). ska även få tillträde till alla lokaler som tillhör den personuppgiftsansvarige, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överens- stämmelse med unionens processrätt eller medlemsstaternas nationella pro- cessrätt (artikel 58.1 f). IMY:s rätt att för sin tillsyn ta del av all information hos JO, särskilt de personuppgifter som behandlas, medför att den eventuella sekretess som råder för uppgifterna hos JO inte kommer att kunna upprätthållas gentemot , eftersom skyldigheten medför att det finns stöd för att lämna ut uppgifter trots att uppgifterna omfattas av sekretess (10 kap. 28 § OSL). Den sekretess- bestämmelse som gäller för uppgifterna hos JO kommer dock att gälla även hos efter att uppgifterna överlämnats dit (se 11 kap. 1 § OSL). Om tillsynsmyndigheten vid sin granskning skulle finna brister kan den med stöd av dataskyddsförordningen exempelvis utfärda varningar och repri- (artikel 58.2 a och b). En varning kan meddelas om en planerad per- sonuppgiftsbehandling sannolikt kommer att bryta mot bestämmelserna i dataskyddsförordningen. En reprimand kan meddelas om genomförd eller pågående behandling bryter mot bestämmelserna. kan vidare förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident inträffat eller att till- mötesgå hans eller hennes begäran att få utöva sina rättigheter enligt förord- ningen (artikel 58.2 c och e). kan även förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med dataskyddsförordningen eller att uppgifter raderas eller rättas (artikel 58.2 d och g). Därutöver kan tillsyns- myndigheten bl.a. införa ett tillfälligt eller definitivt förbud mot behandlingen (artikel 58.2 f). skulle således kunna förbjuda JO att behandla vissa upp- gifter i tillsynsverksamheten, t.ex. känsliga uppgifter som uppgifter om enskildas hälsotillstånd, om skulle finna att rättsligt stöd för behand- lingen saknas. Enligt artikel 83 i dataskyddsförordningen kan tillsynsmyndigheten utöver eller i stället för andra åtgärder påföra sanktionsavgifter på bl.a. den som bryter mot förordningen eller ett föreläggande som meddelats med stöd av den. Data- skyddsförordningen överlämnar emellertid till medlemsstaterna att fastställa regler för huruvida och i vilken utsträckning sådana avgifter ska kunna påföras offentliga myndigheter och organ som är inrättade i medlemsstaten. Om medlemsstaten inte föreskriver sådana sanktionsavgifter ska medlemsstaten i stället fastställa regler om andra effektiva, proportionella och avskräckande sanktioner för överträdelser av dataskyddsförordningen och vidta alla nöd- vändiga åtgärder för att säkerställa att de genomförs (se artikel 84.1). Närmare bestämmelser om tillsynsmyndighetens möjligheter att ta ut sank- tionsavgifter av myndigheter och vilka belopp som kan påföras finns i 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen). Exempelvis kan en myndighet som bryter mot skyldigheten att anmäla en personuppgiftsincident påföras en sanktionsavgift på . En myndighet som bryter mot t.ex. ett förbud att behandla uppgifter eller underlåter att ge tillsynsmyndigheten tillgång till upp- gifter kan påföras en avgift på . Av 7 kap. 3 § dataskyddslagen följer att tillsynsmyndighetens beslut enligt dataskyddsförordningen och ifråga om sanktionsavgifter enligt dataskydds- lagen får överklagas till allmän förvaltningsdomstol. Om skulle besluta att exempelvis förbjuda JO att behandla vissa personuppgifter finns således möjlighet att få detta prövat i domstol. har bemyndigats att meddela föreskrifter om behandling av person- uppgifter som rör lagöverträdelser för andra än myndigheter (6 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning). Med- delade föreskrifter omfattar således inte JO:s verksamhet. Tillsyn över personuppgiftsbehandling vid brottsbekämpning De befogenheter som har vid tillsyn över personuppgiftsbehandlingen på det brottsbekämpande området regleras i 5 kap. brottsdatalagen, där data- skyddsdirektivets föreskrifter i dessa delar genomförts i svensk rätt. ska bl.a. utöva allmän tillsyn över personuppgifts- behandling och på begäran kontrollera om uppgifter om en fysisk person behandlas författningsenligt (se 5 kap. 2 och 3 §§). I likhet med vad som gäller enligt dataskyddsförordningen ska tillsynsmyndighetens tillsyn enligt brotts- datalagen inte omfatta behandling av personuppgifter inom ramen för dom- stolars dömande verksamhet. Till skillnad från dataskyddsförordningen med- ger dock dataskyddsdirektivet att även andra rättsliga myndigheter som behandlar personuppgifter inom ramen för sin rättsliga verksamhet undantas från tillsynsområdet (se artikel 45.2 i direktivet). Regeringen anförde dock i förarbetena till brottsdatalagen att det inte borde införas något undantag för andra rättsliga myndigheter än domstolar. Regeringen uttalade vidare att ett så enhetligt system för tillsyn över personuppgiftsbehandling som möjligt är till fördel för både tillsynsmyndigheten och tillsynsobjekten. på direktivets och förordningens område borde därför enligt regeringens mening så långt möjligt stämma överens, såvida det inte finns sakliga skäl för avvikelser.281 Om en ny typ av behandling, eller betydande förändringar av redan pågående behandling, kan antas medföra särskild risk för intrång i den registrerades personliga integritet, ska den personuppgiftsansvarige bedöma konsekvenserna för skyddet av personuppgifter. Om bedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång, ska den personupp- giftsansvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs. (Se 3 kap. 7 § brottsdata- lagen.) Även i fråga om personuppgiftsbehandling på området för brottsbekämp- ning ska personuppgiftsincidenter anmälas till tillsynsmyndigheten från det att den personuppgiftsansvarige fick kännedom om incidenten. Den personuppgiftsansvarige är vidare skyldig att samarbeta med tillsynsmyndigheten och även utse ett dataskyddsombud (se 3 kap. 9, 12 och 13 §§ brottsdatalagen). har enligt 5 kap. 5 § brottsdatalagen rätt att av person- uppgiftsansvariga och personuppgiftsbiträden på begäran få –tillgång till alla personuppgifter som behandlas –upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder –tillträde till lokaler som den personuppgiftsansvarige eller personuppgifts- biträdet disponerar –tillgång till utrustning och andra medel för behandling av personuppgifter, och den hjälp och den information som behövs för tillsynen. Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den person- uppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att mot- verka den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. (Se 5 kap. 6 § brottsdatalagen.) Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig, eller att uppfylla andra skyldigheter. får vidare förelägga den personuppgifts- 2017/18:232 s. 266 och 270. ansvarige eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter samt förbjuda fortsatt behandling om bristen är allvarlig, eller besluta om en sanktionsavgift. beslut får inte verkställas . (Se 5 kap. 7 och 8 §§ brottsdatalagen.) De sanktionsavgifter som tillsynsmyndigheten får ta ut uppgår till högst 5miljoner kronor om den personuppgiftsansvarige t.ex. brustit i sin skyldighet att begränsa tillgången till personuppgifter, och högst vid flertalet andra skyldigheter i brottsdatalagen (se 6 kap. 1–3 §§ brottsdata- lagen). I likhet med vad som gäller enligt dataskyddsförordningen får tillsynsmyn- dighetens beslut enligt brottsdatalagen överklagas till allmän förvaltningsdom- stol (se 7 kap. 3 § brottsdatalagen). Vidtagna tillsynsåtgärder mot JO har i ett tillsynsärende enligt PUL uttalat att JO:s publicering av namnet på en anmälare i JO:s praxisdatabas på myndighetens webbplats stod i strid med den då gällande dataskyddslagstiftningen (IMY:s ärende med dnr 663- 2010, JO:s ärende med dnr ADM 149-2010). Av beslutet framgår att även inlett en utredning med anledning av en anmälan från en enskild avseende JO:s publicering av namn på webbsidan. JO framförde i ett yttrande till att JO inte uppfattade att publicering på webbplatsen av det faktum att någon gjort en anmälan till JO medför någon integritetskränkning och att det därför inte finns anledning att anonymisera anmälaren i alla beslutsdokument som publiceras i praxisdatabasen. Däremot ansåg JO att kontexten kan vara sådan, t.ex. i JO-beslut inom socialtjänst eller hälso- och sjukvård, att publicering av anmälarens namn innebär en integritets- kränkning på grund av de kopplingar som kan göras till andra uppgifter av känslig natur, som framgår av beslutet. JO anförde vidare att JO principiellt inte anonymiserar offentliga befattningshavare som blir föremål för kritik från JO:s sida. JO:s ståndpunkt var att det förhållandet att JO finner skäl att kritisera en befattningshavare för icke rättsenligt eller olämpligt handlande inte är att betrakta som en kränkning av dennes personliga integritet. Enligt JO var öppenhet i detta avseende tvärtom ett väsentligt inslag i det ansvarsutkrävande vid myndighetsutövning som utgör kärnan i uppdrag. I sitt beslut anförde bl.a. att publicering av namn på kritiserade befatt- ningshavare på webbsidan endast bör vara tillåten om det finns särskilt författningsstöd. Begränsningar i tillämpning och tillsyn Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och undantag får endast föreskrivas i nationella författningar om det är särskilt föreskrivet. I förordningen föreskrivs som nämnts vissa undantag från tillämpningen. Utöver behandling av personuppgifter vid brottsbekämpande verksamhet undantas bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som medlemsstaterna utför när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säker- hetspolitiken (artikel 2.2 a och b). har dock uttalat att undantag från det vida tillämpningsområdet för dataskyddsförordningen ska tolkas restriktivt.282 Europeiska kommissionen har, med anledning av frågor som Europeiska ombudsmannen ställt utifrån propåer från ombudsmannainstitution, meddelat att en nationell ombudsmans verksamhet inte faller inom de undan- tag som anges i artikel 2.2 i dataskyddsförordningen och att förordningen där- för är tillämplig på ombudsmannens aktiviteter. Kommissionen har i samma svar meddelat att förordningen endast undantar domstolars dömande verksam- het från tillsynsmyndighetens verksamhetsområde och att det inte finns någon motsvarande bestämmelse som uttryckligen undantar ombudsmän från till- synen. Kommissionens slutsats är att nationella ombudsmän inte är undan- tagna från den behöriga tillsynsmyndighetens övervakning.283