prop · H903272 · 2022-08-02 00:00:00 — komma att genomföras sådan omfattande personuppgiftsbehandling som lagen avser att reglera. Den nya lagen bör tillämpas av beslutsorganen i den del deras verksamhet består av handläggning av ärenden om stöd. Av det följer att lagen inte är tillämplig vid andra fristående organ, så som de studieförbund och folkhögskolor som lyft fram ansvarar för viss kontroll och uppföljning av verksamheten. Av 2 § förordningen (2015:218) om statsbidrag till folkbildningen följer dock att folkhögskolor och studieförbund bedriver utbildnings-, bildnings- och kulturverksamhet. Som redogjorts för i avsnitt 8.5 har folkhögskolorna och studieförbunden därmed i uppdrag att utföra en uppgift av allmänt intresse som har fastställts i svensk rätt. Dessa organisationer kan därmed behandla personuppgifter, inklusive känsliga sådana, inom ramen för sin verksamhet förutsatt att behandlingen är nödvändig för t.ex. bedrivande av utbildningsverksamhet (prop. 2017/18:218 s. 102 f. och 172 Kompletterande nationella bestämmelser som reglerar studieförbundens och folkhögskolornas behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse har i svensk rätt antagits på förordningsnivå (se t.ex. 17 a–d §§ förordningen om statsbidrag till folkbildningen). Med att handlägga ärenden om statligt reglerat stöd bör avses hela ärendeprocessen från att en ansökan kommer in till ett beslutsorgan till dess beslut i fråga om en organisation ska få ta del av ett visst stöd och i så fall med vilket belopp. I många fall följer beslutsorganen även upp hur utbetalda medel har nyttjats. I vissa ärenden kan det vidare komma att bli fråga om återkallelse eller återkrav av stöd, liksom indrivning av sådant I bestämmelsen anges inte att endast vissa typer av ärenden omfattas av bestämmelsen. Syftet är att lagen ska omfatta samtliga typer av ärenden om statligt reglerat stöd. Utanför lagens tillämpningsområde faller dock annan verksamhet än verksamhet med handläggning av ärenden om stöd. förfarandet vid uttag av avgifter enligt lagen (1999:291) om avgift till registrerat trossamfund måste därmed anses falla utanför lagens Detta förfarande regleras i skatteförfarandelagen (2011:1244). I lagen (2001:181) om behandling av uppgifter i personuppgiftsbehandling i sådan verksamhet. I artikel 2.1 i dataskyddsförordningen anges att dataskyddsförordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår eller kommer att ingå i ett register. 4.6 i dataskyddsförordningen definieras register som en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella och geografiska förhållanden. detta avseende ha samma tillämpningsområde dataskyddsförordningen och detta bör enligt regeringens mening komma Prop. 2021/22:272 till uttryck i en bestämmelse i lagen. 8.6.3Lagen ska komplettera den allmänna dataskyddsregleringen Regeringens förslag: Lagen ska innehålla bestämmelser som klargör att den kompletterar dataskyddsförordningen. Dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandlingen av personuppgifter i ärenden om stöd till civilsamhället, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till den nya lagen. förslag överensstämmer med regeringens men har en annan språklig utformning. Remissinstanserna tillstyrker eller har ingen invändning mot förslaget. Skälen för regeringens förslag: Dataskyddsförordningen är direkt tillämplig i svensk rätt. Förordningen gäller alltså oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till den eller inte. Det finns dock skäl att införa en upplysningsbestämmelse för att tydliggöra att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. En sådan bestämmelse tydliggör den nya lagens förhållande till förordningen och klargör att lagen inte kan tillämpas fristående, utan att den ska tillämpas tillsammans med dataskyddsförordningen. I svensk rätt har det vidare antagits generella kompletterande bestämmelser till dataskyddsförordningen genom dataskyddslagen. Dataskyddslagens bestämmelser är subsidiära i förhållande till annan nationell dataskyddsreglering, dvs. eventuella specialbestämmelser i andra författningar om behandling av personuppgifter ska tillämpas framför de allmänna bestämmelserna i dataskyddslagen. Detta följer direkt av lagen (se 1 kap. 6 § dataskyddslagen). Det behövs därför inte någon materiell bestämmelse för att specialbestämmelser i den nya lagen ska ges företräde framför de generella bestämmelserna i dataskyddslagen. För att det ska vara tydligt hur den nya lagen förhåller sig till dataskyddslagen finns det skäl att införa en bestämmelse om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandling av personuppgifter i ärenden om stöd, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till den. 8.6.4Beslutsorganen ska vara personuppgiftsansvariga Regeringens förslag: En myndighet eller ett annat organ som handlägger ärenden om statligt reglerat stöd till civilsamhället är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten eller organet utför inom en sådan verksamhet. förslag överensstämmer delvis med regeringens. Utredningen föreslår att ”har till uppgift att fördela” ska anges 2021/22:272 i författningstexten i stället för ”handlägger ärenden om”. förslag har även en något annan språklig utformning. Remissinstanserna: De flesta remissinstanser tillstyrker eller har ingen invändning mot förslaget. Kammarkollegiet och Arvsfondsdelegationen har påpekat att det är två olika myndigheter som har olika ansvar när det gäller prövning av stöd ur Allmänna arvsfonden och återkrav av sådant stöd. De anser att som författningsförslaget är utformat är det inte tydligt vilken av dessa myndigheter som är personuppgiftsansvarig. Kammarkollegiet och Arvsfondsdelegationen anser att ”handlägga ärenden om” bör användas i stället för ”fördela”. Kammarrätten i anför att det kan behöva förtydligas att personuppgiftsansvaret omfattar samtliga typer av ärenden, även t.ex. ärenden om återkallelse eller återkrav och föreslår att sista ledet i meningen ges följande lydelse: ”...är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten eller organet utför i samtliga typer av ärenden inom en sådan verksamhet.” Skälen för regeringens förslag: Begreppet personuppgiftsansvarig är ett centralt begrepp i dataskyddsförordningen, eftersom det är den personuppgiftsansvarige som ansvarar för att behandlingen av personuppgifter utförs i enlighet med gällande dataskyddsreglering (artikel 5.2). Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. För att det ska vara tydligt vem som är personuppgiftsansvarig vid behandling av personuppgifter i ärenden om stöd till det civila samhället bör personuppgiftsansvaret regleras i den nya lagen. Sådan reglering är möjlig enligt dataskyddsförordningen och gör det enkelt för den registrerade att identifiera vem som är personuppgiftsansvarig för viss behandling. Regeringen föreslår därför att det i lagen ska framgå att ett beslutsorgan som handlägger ärenden om statligt reglerat stöd till civilsamhället ska vara personuppgiftsansvarig för den behandling av personuppgifter som organet utför inom ramen för en sådan verksamhet. Även här bör, precis som Kammarkollegiet och Arvsfondsdelegationen påpekat, beslutsorganens uppgift benämnas att handlägga ärenden om statligt reglerat stöd, för att få en enhetlig benämning av verksamheten i lagen. I de allra flesta stödärenden handläggs alla frågor om stöd av ett och samma beslutsorgan. I vissa fall har dock beslutsprocessen delats upp mellan olika beslutsorgan och ett ärende om stöd kan därför komma att handläggas av mer än ett organ. Som Kammarkollegiet och Arvsfondsdelegationen påpekat gäller detta i ärenden om stöd enligt lagen (2021:401) om Allmänna arvsfonden. Stöd ur Allmänna arvsfonden fördelas av Arvsfondsdelegationen. För det fall Arvsfondsdelegationen anser att en organisation bör betala tillbaka stöd ur arvsfonden, ska delegationen överlämna ärendet till Kammarkollegiet som beslutar i frågor om återkrav och återbetalningsskyldighet (2 kap. 1 och 14 §§ lagen om Allmänna arvsfonden). Av den föreslagna bestämmelsen följer att varje beslutsorgan ansvarar för den egna personuppgiftsbehandlingen, vilket innebär att Arvsfondsdelegationen ansvarar för den behandling som Arvsfondsdelegationen utför och Kammarkollegiet ansvarar för den Prop. 2021/22:272 behandling som Kammarkollegiet utför. Enligt regeringens mening finns inte skäl att ytterligare förtydliga i författningstexten att personuppgiftsansvaret omfattar samtliga typer av ärenden på det sätt som Kammarrätten i föreslår. Det framgår att samtliga typer av ärenden omfattas av bestämmelsen genom att det i bestämmelsen inte pekas ut att endast vissa typer av ärenden omfattas. Regeringens förslag: Ändamålen med behandling av personuppgifter ska avgränsas till sådan behandling som är nödvändig för handläggningen av ett ärende om stöd. Känsliga personuppgifter och uppgifter om lagöverträdelser ska få behandlas om det är nödvändigt för handläggningen av ett ärende om stöd. Lagen ska innehålla en bestämmelse om att personuppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. förslag överensstämmer delvis med regeringens. Utredningen föreslår att ett beslutsorgan ska få behandla känsliga personuppgifter och uppgifter om lagöverträdelser endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Utredningens förslag till författningstext har också en annan utformning. Utredningens förslag innehåller inte någon bestämmelse om att personuppgifter som behandlas enligt ändamålsbestämmelsen i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Remissinstanserna: De flesta remissinstanser tillstyrker förslaget eller har ingen invändning mot det. i framhåller att vid sidan av uppdraget att fördela statsbidrag har också vissa samordnande och stödjande uppdrag. Genom ansökningar om statsbidrag får tillgång till bl.a. uppdaterade kontaktuppgifter som behöver använda i det samordnande och stödjande arbetet. Genom att begränsa behandlingen av personuppgifter i ärenden om stöd till det civila samhället till vad som är nödvändigt för handläggningen av ärendet kan inte använda uppgifter på det sätt som beskrivits. Enligt innebär detta en alltför genomgripande begränsning. ser positivt på att grunden för de enskilda beslutsorganen att behandla känsliga personuppgifter kommer till uttryck i en bestämmelse men menar att den bestämmelse som föreslås kan uppfattas så att det inte alltid krävs att behandlingen av en känslig personuppgift eller uppgift om lagöverträdelser är nödvändig för handläggningen av ärendet utan att det är tillräckligt att en sådan uppgift har lämnats i ett ärende för att det ska finnas stöd för behandlingen. anser därför att bestämmelsens utformning bör ses över. Kommuner och Regioner saknar en analys av vilka uppgifter om lagöverträdelse som kan komma att behandlas. Ungdomsorganisationer (LSU) ställer frågor om vilka uppgifter om lagöverträdelser som är relevanta. reformen får anses genomgripande då så många myndigheter och fristående organ kommer att få behandla uppgifter om lagöverträdelser. Skälen för regeringens förslag: Enligt en av dataskyddsförordningens grundläggande principer får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b). som anger ett visst ändamål för behandling av personuppgifter tydliggör vilken behandling som är tillåten inom en viss verksamhet och begränsar vilken behandling som en personuppgiftsansvarig får utföra. Ändamålsbestämmelser utgör därmed en form av åtgärd till skydd för personuppgifter som bidrar till att säkerställa en laglig och rättvis behandling (jfr artikel 6.2 och 6.3). Den nya lagen bör mot den bakgrunden innehålla en ändamålsbestämmelse. Ändamålen med behandlingen bör avgränsas till sådan behandling som är nödvändig för handläggningen av ett ärende om stöd. uttryckligen knyta ändamålet med behandlingen till vad som är nödvändigt för handläggningen av ärenden om stöd inskränks beslutsorganens möjligheter att behandla personuppgifter som saknar ärendekoppling. Som konstaterats i avsnitt 8.4 är det inte helt klart hur begreppet under kontroll av myndighet i dataskyddsförordningen ska tolkas i en svensk Mot den bakgrunden bör det i den nya lagen även tas in en bestämmelse om att enskilda organ får behandla uppgifter om lagöverträdelser i ärenden om stöd och inom vilka ramar sådan behandling Även ramarna för myndigheters behandling av uppgifter om lagöverträdelser bör komma till uttryck i bestämmelsen. Utredningen har föreslagit att ett beslutsorgan ska få behandla känsliga personuppgifter och uppgifter om lagöverträdelser endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Regeringen anser att förutsättningarna för behandlingen av känsliga personuppgifter och uppgifter om lagöverträdelser bör motsvara de förutsättningar som anges i ändamålsbestämmelsen, nämligen att behandlingen ska vara nödvändig för handläggningen av ett ärende. uppnås lämpligen genom att en hänvisning görs i bestämmelsen till förutsättningarna i ändamålsbestämmelsen. En sådan justering förhindrar även att bestämmelsen uppfattas så att det inte alltid krävs att uppgifterna ett ärende, som Lagrådet, som framhåller att det följer redan av ändamålsbestämmelsen att känsliga personuppgifter får behandlas, ifrågasätter vilken funktion en anför däremot att myndigheten ser positivt på att grunden för de enskilda beslutsorganen att behandla känsliga personuppgifter kommer till uttryck i bestämmelsen. det i detta fall är lämpligt att ramarna för myndigheters och enskilda organs behandling av känsliga personuppgifter tydliggörs på samma sätt som för uppgifter om lagöverträdelser. Under vilka förutsättningar känsliga personuppgifter får behandlas av myndigheter och enskilda organ bör därför också komma till uttryck i bestämmelsen. i framhåller att den föreslagna Prop. 2021/22:272 ändamålsbestämmelsen leder till att inte kan använda t.ex. uppdaterade kontaktuppgifter som får tillgång till vid handläggningen av stödärenden i sitt samordnande och stödjande arbete. Enligt innebär detta en alltför genomgripande begränsning. I och med att den nya lagen inte ska vara tillämplig inom annan verksamhet vid beslutsorganen än i verksamhet med handläggning av ärenden om stöd (jfr avsnitt 8.6.2) begränsar den inte personuppgiftsbehandling i annan verksamhet som myndigheten har i uppdrag att utföra. Regeringen gör ingen annan bedömning än utredningen i fråga om hur ändamålet med personuppgiftsbehandlingen i verksamhet med handläggning av ärenden om stöd lämpligen bör avgränsas. Förutsättningarna för den personuppgiftsbehandling som önskar utföra får avgöras utifrån den personuppgiftsreglering som är tillämplig på den samordnande och stödjande verksamheten. Som framgått ovan ska dock personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt finalitetsprincipen får uppgifterna inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Detta kommer till uttryck i artikel 5.1 b dataskyddsförordningen. Av samma artikel framgår att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Bestämmelserna i dataskyddsförordningen är direkt tillämpliga vid den behandling av personuppgifter som omfattas av den föreslagna lagen. Registerförfattningar innehåller dock ofta en uttrycklig hänvisning till finalitetsprincipen. Regeringen bedömer att även den föreslagna lagen av tydlighetsskäl bör innehålla en bestämmelse om att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge som behandlingen inte är oförenlig med insamlingsändamålen. Regeringen ser inte skäl att införa några begränsningar av tillämpningen av finalitetsprincipen. anser att reformen får anses genomgripande då så många myndigheter och fristående organ kommer att få behandla uppgifter om lagöverträdelser. Myndigheter har dock möjlighet att behandla uppgifter om lagöverträdelser (se avsnitt 8.4). Förslaget innebär därför att möjlighet att behandla sådana uppgifter ges till de organisationer som fått förvaltningsuppgiften att fördela statsbidrag överlämnad till sig med stöd av lag. Kommuner och Regioner saknar en analys av vilka uppgifter om lagöverträdelser som kan komma att behandlas. Även för Ungdomsorganisationer (LSU) ställer frågor om vilka uppgifter om lagöverträdelser som är relevanta. De uppgifter som kan komma att vara nödvändiga för beslutsorganen att behandla är sådana som är av relevans för att bedöma om det föreslagna demokrativillkoret är uppfyllt. Förslaget behandlas i kapitel 6. Det kan bl.a. röra sig om uppgifter om brott enligt den straffrättsliga terrorismlagstiftningen. 2021/22:272 8.6.6 Det behövs inte särskilda bestämmelser om behandling av personnummer och Regeringens bedömning: Några särskilda bestämmelser om behandling av personnummer och samordningsnummer behöver inte införas i den nya lagen. bedömning överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inget att invända mot bedömningen. Skälen för regeringens bedömning: Beslutsorganen behöver behandla personnummer och i förekommande fall samordningsnummer vid handläggningen av ärenden om stöd till det civila samhället. Sådana uppgifter får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 § dataskyddslagen). I likhet med utredningen bedömer regeringen att denna generella reglering av behandling av personuppgifter och samordningsnummer i dataskyddslagen är tillräcklig för den behandling som ett beslutsorgan behöver utföra vid en prövning av en fråga om stöd. Det finns därför inte något behov av särskilda villkor eller skyddsåtgärder för behandling av sådana uppgifter i den föreslagna lagen. 8.6.7Tillgången till personuppgifter ska begränsas Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. förslag överensstämmer med regeringens men har en annan språklig utformning. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. understryker att det kommer att krävas av varje personuppgiftsansvarig att göra aktiva behovs- och riskanalyser gällande vilka som ska ha åtkomst till personuppgifterna för att utföra dessa arbetsuppgifter. Det kommer också krävas att varje personuppgiftsansvarig utformar åtkomstkontroller för utredning av om någon obehörigen bereder sig åtkomst till personuppgifterna. Skälen för regeringens förslag: En fysisk person som utför ett arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, får som utgångspunkt endast behandla dessa på instruktion från den personuppgiftsansvarige (artikel 29 i dataskyddsförordningen). Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att personuppgifter inte behandlas utöver vad den personuppgiftsansvarige har gett instruktion om (artikel 32.4 i dataskyddsförordningen). Den personuppgiftsansvarige har alltså ett ansvar för att anställda och andra uppdragstagare inte behandlar personuppgifter utöver vad den personuppgiftsansvarige har bedömt lämpligt. personuppgifter som en viss behandling innebär har av naturliga skäl stor Prop. 2021/22:272 inverkan på integritetsriskerna med behandlingen. sprids ökar risken för att uppgifterna kommer att användas på ett sätt som innebär ett intrång i de registrerades personliga integritet. Utgångspunkten är därför att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (jfr artikel 5.1 f i dataskyddsförordningen). Att begränsa tillgången till personuppgifter i ärenden om stöd är en viktig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen (jfr artikel i dataskyddsförordningen). Regeringen föreslår därför en bestämmelse i den nya lagen som begränsar tillgången till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. föreslagna bestämmelsen klargörs, precis som pekar på, att varje beslutsorgan har ett ansvar att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i dataskyddsförordningen). 8.6.8Det ska vara förbjudet att utföra vissa sökningar Regeringens förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller uppgifter om lagöverträdelser. förslag överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inget att invända mot förslaget. Skälen för regeringens förslag: Sökningar som tar sikte på känsliga personuppgifter är av naturliga skäl förknippade med risker i integritetshänseende. Ett beslutsorgan bör därför inte få utföra sökningar i syfte att få fram ett urval av personer grundat på sådana uppgifter. Utöver känsliga personuppgifter bör förbudet omfatta uppgifter om brott. Även om dessa uppgifter inte utgör känsliga personuppgifter är ett urval av personer baserat på uppgifter om lagöverträdelser särskilt känsligt ur ett integritetshänseende. Även sådana uppgifter bör därför omfattas av ett sökförbud. Den föreslagna bestämmelsen går i denna del utöver vad som gäller i fråga om sökbegränsningar enligt dataskyddslagen (jfr 3 kap. 3 § andra stycket dataskyddslagen). 8.6.9Längsta tid som personuppgifter får behandlas Regeringens förslag: Personuppgifter ska inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Detta hindrar dock inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. förslag överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inget att invända mot förslaget. 2021/22:272 Skälen för regeringens förslag: En av de grundläggande principerna för dataskydd är principen om lagringsminimering. Enligt denna princip får personuppgifter inte lagras än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1e i dataskyddsförordningen). Genom att minimera lagringstiden minskar den risk för den personliga integriteten som en viss behandling av personuppgifter innebär. Bestämmelser som tydliggör hur länge personuppgifter får behandlas inom en verksamhet innebär därmed en form av skyddsåtgärd. Regeringen anser därför att det bör införas en bestämmelse om längsta tid för personuppgiftsbehandling i den nya lagen. Stöd till det civila samhället fördelas i olika former och över olika tidsperioder, där t.ex. visst stöd fördelas medan annat stöd kan sträcka sig .