urf · H9A5URF2 · 2022-05-18 00:00:00 — liga.900 ändrades rekvisitet till det nuvarande omvända skade- rekvisitet, i samband med att motsvarande rekvisit infördes för olika register Som motivering till ändringen anfördes att uppgifter som ingår i automatiserade behandlingar blir mer känsliga från integritetssynpunkt än motsvarande uppgifter som behandlas manuellt, och att det var en lämplig ordning att samma skaderekvisit skulle gälla i förundersökningar som i de register som förs till stöd för förundersökningsverksamheten. en sådan lösning var således att samma sekretesskydd kommer att gälla för uppgiften oavsett om den finns i ett register eller är representerad på annat Dåvarande chefsJO lämnade 2002 en framställan902 till regeringen om återgång till rättsläget års lagändring vad gäller sekretess hos JO, dvs. en återgång till det raka skaderekvisitet och presum- tionen för offentlighet när det gäller sekretess till skydd för enskilda i för- Det omvända skaderekvisitet medförde enligt att uppgifter måste hemlighållas i större utsträckning än vad som är motiverat med hänsyn till den grundläggande principen om största möjliga öppenhet hos JO. pekade också på den omständigheten att sekre- tesskyddet för ett och samma slag av personuppgifter i tillsynsärenden hos JO blir olika starkt beroende på i vilken form utredningen bedrivs. ärende i vilket det förekommit en nedlagd förundersökning skulle det som regel inte vara möjligt för allmänheten att i efterhand få tillgång till några uppgifter om hur namngivna befattningshavare har handlat i sin tjänsteutöv- ning, medan däremot samma uppgifter i ett ärende som utretts på sedvanligt sätt så gott som alltid skulle vara helt offentliga. Ett ärende där förunder- sökningen lagts ned men utredningen i tillsynsärendet fortsatts och lett till ett utförligt beslut skiljer sig enligt i princip inte från vad som skulle ha varit fallet om ärendet hade utretts enligt reglerna i JO-instruktionen. Ett sådant beslut kan innebära att ett disciplinförfarande inleds mot någon eller att det riktas mer eller mindre allvarlig kritik mot en myndighet eller en Det finns i dessa fall enligt samma intresse av insyn i det material hos JO som ligger till grund för beslutet som om det aldrig hade bedrivits någon förundersökning i tillsynsärendet. föreslog i sitt delbetänkande Insyn och integritet i brotts- bekämpningen – några frågor (SOU 2009:72) att om en förundersökning lagts ned eller avslutats av JO eller JK med ett beslut om att åtal inte ska väckas, ska sekretess enligt 35 kap. 1 § hos JO eller JK endast gälla om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Således skulle en presumtion för offentlighet råda även 900 Se prop. 1986/87:160 s. 20. 901 Se prop. 1997/98:97 s. 69 f. 902 JO:s ärende med dnr ADM 254-2002. för uppgifter i de nedlagda förundersökningarna hos JO, i likhet med vad som gäller för en stor del av uppgifterna i JO:s tillsynsverksamhet i övrigt. Det skulle dock ställas lägre krav för att en uppgift skulle kunna sekretessbeläggas, eftersom skaderekvisitet inte skulle vara kvalificerat. Såväl JO som JK var för utredningen av den inställningen att sekretessen bör vara den- samma oavsett om förundersökningen leds av allmän eller särskild åklagare, men att den bör övergå till att gälla med ett rakt skaderekvisit hos JO eller JK när tillsynsärendet fortsätter efter det att förundersökningen har lagts ned eller efter beslut om att åtal inte ska väckas.903 delbetänkande i den delen behandlas inom Regeringskansliet.904 Den begränsning som finns intagen i 42 kap. 1 § OSL, och som utesluter tillämpningen av andra sekretessbestämmelser för uppgifter hos JO, avser enbart uppgifter i JO:s tillsynsverksamhet. Utanför detta område faller JO:s administrativa verksamhet, där det kan förekomma känsliga uppgifter om t.ex. anställda och avtalsparter i personalärenden respektive ärenden om upphand- ling. JO har att tillämpa sedvanliga sekretessbestämmelser i offentlighets- och sekretesslagen i fråga om dessa uppgifter, i likhet med andra myndigheter som ska tillämpa den lagen. Frågor om utlämnande av allmän handling avgörs på myndighetens vägnar av den justitieombudsman vars ansvarsområde ärendet hör till. ChefsJO avgör en sådan fråga på myndighetens vägnar om begäran avser en handling i ett administrativt ärende eller om den ansvariga justitieombudsmannen på grund av någon annan omständighet inte kan avgöra frågan. En begäran om utläm- nande ska dock i första hand prövas av den tjänsteman som, beroende på i vilket stadium ärendet handlingen hör till befinner sig, enligt arbetsordningen ansvarar för prövningen (se 11 och 12 §§ arbetsordningen för ombudsmän). Det kan i sammanhanget noteras att JO:s beslut att inte lämna ut en handling eller en uppgift inte kan överklagas (se 4 § andra stycket lagen [1989:186] om överklagande av administrativa beslut av och riks- dagens myndigheter). Om en tjänsteman hos JO i strid med en sekretessbestämmelse skulle röja en uppgift, antingen med uppsåt eller av oaktsamhet, kan han eller hon ha gjort sig skyldig till brott mot tystnadsplikten (se 20 kap. 3 § ). Av 22 § lagen (1994:269) om offentlig anställning, förkortad , följer en skyldighet att anmäla den som är skäligen misstänkt för att i sin anställning ha begått brott i form av brott mot tystnadsplikt om brottet är uppsåtligt. Om uppgiften röjts av oaktsamhet, får i stället en disciplinpåföljd för tjänste- 903Se SOU 2009:72 s. 56. 904Se ärende med dnr Ju2009/07047. förseelse meddelas enligt 14 § samma lag, såvida inte felet med hänsyn till samtliga omständigheter är ringa. Som framgår av redovisningen i avsnitt 2.5.14 gäller särskilda regler för anmälan till åtal av sådana förseelser begångna av tjänstemän hos JO, där fattar beslut om disciplinansvar och åtalsanmälan enligt lagen om offentlig anställning när det gäller vissa högre befattnings- havare, medan sådana frågor som rör övriga tjänstemän ska prövas av myndig- heten (se 2 och 3 §§ lagen [RFS 1980:4] [1980:607] om beslutande organ i frågor om disciplinansvar m.m. beträffande arbetstagare hos och dess myndigheter). De bestämmelser som behandlas i avsnitt 7.4.1 kan omfatta uppgifter om såväl enskilda individer som juridiska personer samt även uppgifter vars röjande kan skada allmänna intressen. Sekretessen har i huvudsakligt syfte att hindra att obehöriga får ta del av informationen. För personuppgifter, dvs. uppgifter som avser en identifierad eller identifierbar fysisk person, finns ett ytterligare skydd som inte enbart tar sikte på uppgifternas spridning utan även på hanteringen av uppgifterna som sådan, där själva behandlingen kan kränka den enskildes integritet. Regelverket för personuppgiftsbehandling har således ett smalare tillämpningsområde såtillvida att det enbart omfattar uppgifter om fysiska personer, som det är vidare genom att det omfattar många andra aspekter av uppgiftshantering än enbart sekretess och tystnadsplikt. Centrala bestämmelser om personuppgiftsbehandling I andra avsnitt i detta betänkande har vissa grundläggande bestämmelser som syftar till att skydda den enskildes integritet och privatliv refererats, eftersom dessa bestämmelser kan ses som utgångspunkt för de principer som styr personuppgiftsbehandling. Dessa har relevans för bl.a. Integritetsskyddsmyn- dighetens () tillsyn och möjligheten till direktåtkomst till myndigheters register (se avsnitt 5.4.1 och 7.3.2). Det kan finnas anledning att behandla dessa även i detta sammanhang, tillsammans med vissa andra grundläggande stadganden, för att på så sätt inledningsvis beskriva de övergripande ramarna för det regelverk som finns för behandling av personuppgifter. I regeringsformens första kapitel finns ett målsättningsstadgande, 1 kap. 2 § fjärde stycket, i vilket anges att det allmänna bl.a. ska värna den enskildes privatliv och familjeliv. Stadgandet i sig har inte någon rättsligt bindande verkan och ger inte upphov till några individuella rättigheter. Sådana rättig- heter finns i stället intagna i regeringsformens andra kapitel om de grund- läggande fri- och rättigheterna. I 2 kap. 3 § RF föreskrivs att ingen svensk medborgare utan samtycke får antecknas i ett allmänt register enbart på grund av sin politiska åskådning. Vidare föreskrivs i 2 kap. 6 § andra stycket RF att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om intrånget sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Till skillnad från förbudet mot registre- ring av politisk åskådning kan detta skydd begränsas genom lag. Sådana begränsningar får emellertid endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har gett anledning till den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen som en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. (Se 2 kap. 20 och 21 §§ RF.) I Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (), som gäller som svensk lag, föreskrivs i artikel 8 att var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. Vidare föreskrivs att en offentlig myndighet inte får ingripa i denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Enligt 2 kap. 19 § RF får en lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av . I fråga om skyddet av personuppgifter är vidare folkrättsligt bundet av konvention om skydd för enskilda vid automatisk data- behandling av personuppgifter (CETS 108). Konventionen innehåller bestäm- melser som ger uttryck för en rad grundläggande principer om dataskydd. Dessa kan sägas utveckla det generella skydd för den personliga integriteten som följer av artikel 8 i . Inom ramen för samarbetet i EU är bundet av ett regelverk som i olika hänseenden utvecklar skyddet för den personliga integriteten på olika områden, däribland unionens stadga om de grundläggande rättigheterna (2012/C 326/02). I stadgan finns bl.a. en allmän föreskrift i artikel 7 om att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. I artikel 8, som mer specifikt avser behandling av person- uppgifter, anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne samt att uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Vidare anges att en oberoende myndighet ska kontrollera att dessa regler följs. Inom dessa ramar har lagstiftaren såväl på unionsrättslig nivå som i den nationella rätten antagit de författningar som reglerar behandlingen av person- uppgifter. Dessa regelverk redovisas nedan i de delar de är av relevans för JO. Relevanta regelverk vid behandling av personuppgifter Inom EU gäller dataskyddsförordningen905 som det grundläggande regelverket för personuppgiftsbehandling, vilket inom förordningens tillämpningsområde i princip gäller för all automatiserad behandling av personuppgifter och i vissa fall även behandling av personuppgifter. Dataskyddsförordningen syftar till att säkerställa en enhetlig skyddsnivå över hela unionen, så att avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden undviks. Förordningen syftar även till att skapa rättslig säkerhet och öppenhet för ekonomiska aktörer, ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter och ålägga dem som ansvarar för person- uppgifterna samma ansvar, så att övervakningen av behandling av person- uppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och sam- arbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt (se skäl 10 och 13 till förordningen). Som redan nämnts i avsnitt 5.4.1 undantas från dataskyddsförordningens tillämpningsområde bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, behandling som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har sam- band med hans eller hennes hushåll samt behandling som behöriga myndig- heter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (se artikel 2.2). Trots att dataskyddsförordningen är direkt tillämplig innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. I kompletteras dataskyddsförordningen bl.a. av lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) och förordningen (2018:219) med kom- pletterande bestämmelser till EU:s dataskyddsförordning. Genom dataskydds- lagen utvidgas dataskyddsförordningen till att även gälla vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, med undantag för bl.a. viss behandling inom Försvarsmaktens område (se 1 kap. 2 §). I dataskyddslagen förtydligas också bl.a. under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskydds- förordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och över- klagande av beslut. I 1 kap. 7 § dataskyddslagen anges även att bestämmelser i dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrande- 905Förordningen (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Detta medför bl.a. att enskildas rätt att ta del av allmänna handlingar inte begränsas av dataskyddsbestämmelserna.906 Genom att ombudsmännen har en roll som åklagare verkar de också på det brottsbekämpande området. Som nämnts omfattar inte dataskyddsförord- ningen personuppgiftsbehandling på det området. För sådan behandling har i stället det s.k. dataskyddsdirektivet antagits.907 Direktivet har i svensk rätt genomförts i huvudsak genom brottsdatalagen (2018:1177), som syftar till att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av personuppgifter och att säkerställa att behöriga myndig- heter kan behandla och utbyta personuppgifter med varandra på ett ändamåls- enligt sätt (se 1 kap. 1 § brottsdatalagen). Lagen är en ramlag som är generellt tillämplig inom det område som direktivet reglerar, och gäller bl.a. vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Genom bemyndigande i brotts- datalagen har regeringen meddelat föreskrifter på området i brottsdata- förordningen (2018:1202). Avgörande för om en myndighet ska tillämpa dataskyddsförordningen med kompletterande författningar eller brottsdatalagen är i vilket syfte myndig- heten behandlar uppgifterna.908 En myndighet kan således exempelvis behandla personuppgifter i en brottsutredning enligt brottsdatalagen men tillämpa dataskyddsförordningen i sin personaladministrativa verksamhet. Såväl dataskyddslagen som brottsdatalagen är subsidiära till andra lagar och förordningar. Om en annan lag eller förordning innehåller någon bestäm- melse som avviker från dessa lagar, ska således den bestämmelsen tillämpas i stället (se 1 kap. 6 § dataskyddslagen och 1 kap. 5 § brottsdatalagen). Inom olika delar av samhället kompletteras dataskyddsförordningen, data- skyddslagen och brottsdatalagen av sektorsspecifika författningar, ofta i form av s.k. registerförfattningar. Det kan t.ex. handla om bestämmelser som specificerar eller begränsar rätten att behandla känsliga personuppgifter i en viss verksamhet eller särskilda förfaranderegler. Exempelvis gäller inom delar av den brottsbeivrande verksamheten bl.a. lagen (2018:1697) om åklagar- väsendets behandling av personuppgifter inom brottsdatalagens område. Denna gäller dock enbart och (se 1 kap. 1 §). På motsvarande sätt finns i polisdatalagen (2010:361) bestäm- 906Att det i nationell rätt får medges undantag från tillämpningen av dataskyddsförordningen för offentlighetsprincipen följer av artikel 86 i förordningen, i vilken anges att personupp- gifter i allmänna handlingar som förvaras av en myndighet eller ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med den unionsrätt eller den medlemsstats nationella rätt som myndig- heten eller det offentliga organet omfattas av, för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen. 907Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 2017/18:232 s. 109 f. melser om personuppgiftsbehandling på brottsdatalagens område för Polis- myndigheten, för Säkerhetspolisen och för polisiär verksamhet vid Ekobrotts- myndigheten. Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I artikel 6.1 i förordningen räknas dessa rätts- liga grunder upp. Behandling är enligt denna bestämmelse laglig endast om och i den mån åtminstone ett av följande villkor är uppfyllt: –Den registrerade har lämnat sitt samtycke till att hans eller hennes person- uppgifter behandlas för ett eller flera specifika ändamål (a). –Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registre- rade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (b). –Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som ligger på den personuppgiftsansvarige (c). –Behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller för en annan fysisk person (d). –Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e). –Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registre- rades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (f). Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte utföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga på en och samma behand- ling. Den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (se artikel 6.3). Utöver det grundläggande kravet att någon av de rättsliga grunder som anges i artikel 6.1 ska vara tillämplig omgärdas varje behandling av person- uppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Bland annat uppställs krav på att upp- gifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade, att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. De ska vara adekvata, relevanta, riktiga och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ända- mål för vilka personuppgifterna behandlas, såvida inte uppgifterna enbart behandlas för bl.a. arkivändamål av allmänt intresse. Uppgifterna ska behand- las på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. I artikel 9.1 anges att behandling av vissa särskilda kategorier av person- uppgifter (ofta benämnda känsliga personuppgifter) är förbjuden. De person- uppgifter som avses är sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fack- förening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv eller sexuell läggning. Förbudet är förenat med ett antal direkt tillämpliga undantag, vilka medför att behandling av sådana känsliga personuppgifter kan vara tillåten om det t.ex. sker med den registrerades uttryckliga samtycke eller avser uppgifter som den registrerade själv offentliggjort på ett tydligt sätt (se artikel 9.2–9.4). För att vissa av undantagen ska vara tillämpliga krävs dock att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller i nationell rätt. Personnummer och samordningsnummer utgör inte känsliga personupp- gifter i dataskyddsförordningens mening men intar ändå en särställning genom att medlemsstaterna getts möjlighet att införa särskilda villkor för behand- lingen. Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. (Se artikel 87.) I artikel 10 regleras personuppgiftsbehandling som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed samman- hängande säkerhetsåtgärder. Sådana uppgifter får endast behandlas under kontroll av myndighet eller när behandling är tillåten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. I kapitlet regleras bl.a. att information om behandlingen av personuppgifter som rör den registrerade bör lämnas till honom eller henne då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period (se artikel 13 och 14). Om uppgifterna erhålls från en annan källa än den registre- rade själv behöver sådan information dock inte lämnas om erhållandet uttryck- ligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen (se artikel 14.5 c). Den registrerade har också rätt att få tillgång till bl.a. de personuppgifter som rör honom eller henne (se artikel 15). Vidare regleras den registrerades rätt till rättelse och att i vissa fall få komplettera uppgifterna (se artikel 16), rätt under vissa förutsättningar att få uppgifterna raderade eller behandlingen av dem begränsad (artikel 17 och 18) och rätt till dataportabilitet909 (se artikel 20).