prop · H903272 · 2022-08-02 00:00:00 — Gemensamt för den statliga bidragsgivningen till det civila samhället är det underliggande allmänna intresset av att främja ett demokratiskt Ett fritt och självständigt civilsamhälle med en mångfald av organisationer, verksamheter och röster är en förutsättning för en väl Stödet fördelas i enlighet med uppdrag som följer av författning eller regeringsbeslut. Uppgiften att handlägga ärenden om stöd till det civila samhället är därmed en uppgift av allmänt intresse som har fastställts i svensk rätt i enlighet med artikel 6.3 i dataskyddsförordningen. I den del som handläggningen av ärenden om stöd innebär myndighetsutövning kan personuppgiftsbehandling även vara nödvändig som ett led i beslutsorganens myndighetsutövning. därmed utföra behandling av personuppgifter i ärenden om stöd till det civila samhället förutsatt att behandlingen är nödvändig för handläggningen av ett ärende om stöd (artikel 6.1 e i dataskyddsförordningen och 2 kap. 2 § dataskyddslagen). Möjligheten att behandla känsliga personuppgifter med hänsyn till ett Uppgiften att fördela stöd till civilsamhället, som följer av författning eller regeringsbeslut, får av de skäl som anförts ovan anses utgöra ett viktigt allmänt intresse som ger beslutsorganen möjlighet att behandla känsliga personuppgifter (artikel i dataskyddsförordningen). avsnitt 8.3 ställer dock dataskyddsförordningen krav på proportionalitet och lämpliga skyddsåtgärder vid behandling av känsliga personuppgifter Prop. 2021/22:272 med stöd av detta undantag, vilket kan innebära att det krävs kompletterande nationell dataskyddsreglering. Av 3 kap. 3 § första stycket 2 dataskyddslagen framgår att känsliga personuppgifter får behandlas av en myndighet om behandlingen är nödvändig för handläggningen av ett ärende. Frågan om det finns behov av ytterligare bestämmelser i nationell rätt behandlas i avsnitt 8.6. Beslutsorganen behöver kunna behandla uppgifter om lagöverträdelser Att en myndighet får behandla uppgifter om lagöverträdelser framgår direkt av dataskyddsförordningen (artikel 10) och har även tydliggjorts genom 3 kap. 8 § dataskyddslagen. Bland de organ som handlägger dessa ärenden finns dock, utöver ett stort antal statliga myndigheter, ett antal från staten fristående organ såsom t.ex. , Stiftelsen och Svenskt Friluftsliv. Dessa beslutsorgan är inte myndigheter men har, inom ramen för sina uppdrag att fördela statligt stöd, anförtrotts en uppgift som annars ankommer på den offentliga sektorn. Det är inte helt klart hur begreppet under kontroll av en myndighet ska tolkas i en svensk kontext. För att det ska vara tydligt att beslutsorgan som inte är myndigheter får behandla uppgifter om brott bör sådan behandling därför regleras särskilt i svensk rätt (se även avsnitt 8.6.6). Regeringens bedömning: En civilsamhällesorganisations intresse av att ansöka om och ta del av ett statligt stöd bör anses utgöra ett berättigat intresse. Organisationen har därmed en rättslig grund för nödvändig behandling av personuppgifter i ärenden om stöd förutsatt att den gör en noggrann avvägning mellan motstående intressen. En civilsamhällesorganisation som ansöker om att få ta del av statligt stöd bör anses ha ett rättsligt anspråk. Detta medför att organisationen kan behandla även känsliga personuppgifter och uppgifter om lagöverträdelser vid en prövning av en fråga om rätt till stöd. Remissinstanserna: De flesta remissinsatserna delar utredningens bedömning eller har inga synpunkter på den. instämmer i utredningens bedömning att organisationernas intresse är berättigat men anser att det vore värdefullt med vägledande uttalanden om hur avvägningen mellan detta intresse och den registrerades intresse av skydd för sina personuppgifter ska göras i Myndigheten bedömer vidare att rättsläget är oklart i fråga om civilsamhällesorganisationerna kan stödja sig på undantaget för rättsliga anspråk i ärenden där det inte finns någon möjlighet att få en domstolsprövning eller annan utomstående prövning. att lagstiftaren bör överväga att reglera den personuppgiftsbehandling som de förtydligade demokrativillkoren kan medföra för civilsamhället. 2021/22:272 för Ungdomsorganisationer (LSU), kristna råd, Equmeniakyrkan och Frikyrkosamråd ansluter sig till utredningens bedömning i fråga om undantaget för rättsliga anspråk. Skälen för regeringens bedömning Civilsamhällesorganisationerna behöver kunna behandla personuppgifter utan samtycke av den registrerade Varje personuppgiftsansvarig ansvarar för att den egna behandlingen av personuppgifter utförs i enlighet med gällande dataskyddsreglering. Att en civilsamhällesorganisation behandlar personuppgifter i enlighet med dataskyddsförordningens krav på rättslig grund och respekt för de grundläggande principerna för behandling av personuppgifter är därmed i första hand organisationens eget ansvar. I de föreslagna demokrativillkoren ställs vissa krav som har koppling till organisationernas medlemmar och företrädare. Dessa villkor medför att en organisation som önskar ta del av stöd kan behöva behandla personuppgifter utöver vad som annars hade krävts av verksamhetsskäl. För att denna reglering ska kunna tillämpas i praktiken krävs därför att organisationerna har rättsliga förutsättningar för att kunna behandla de personuppgifter som är nödvändiga för en prövning av om organisationen uppfyller villkoren för stöd. Statligt reglerat stöd till det civila samhället fördelas till organisationer av varierande karaktär som bedriver verksamheter av vitt skilda slag. Vilken eller vilka rättsliga grunder som är tillämpliga vid viss behandling av personuppgifter kan därför variera från en organisation till en annan. Den rättsliga grunden för en civilsamhällesorganisations behandling av personuppgifter måste därför bedömas från fall till fall. Generellt gäller dock att behandling av personuppgifter som utförs av organisationer inom det civila samhället inte förutsätter att grunden för behandlingen har fastställts i rättsordningen i samma utsträckning som gäller för beslutsorganen. Organisationernas personuppgiftsbehandling kan därför till stor del utföras direkt med stöd av dataskyddsförordningen. Exempelvis kan civilsamhällesorganisationer i större utsträckning än myndigheter behandla personuppgifter med stöd av den registrerades samtycke (artikel 6.1 a). Vid en prövning av om en organisation uppfyller villkoren för stöd, t.ex. ett demokrativillkor, kan det dock bli nödvändigt för organisationen att behandla vissa personuppgifter trots att den registrerade inte har gett sitt samtycke till sådan behandling. Civilsamhällesorganisationernas intresse av att få ta del av statligt reglerat stöd utgör ett berättigat intresse bedömer, i likhet med utredningen, att en civilsamhällesorganisations intresse av att kunna söka och ta del av ett civilsamhällesorganisationerna inte alltid kan anses ha stöd för en viss personuppgiftsbehandlingen utifrån att de har ett berättigat intresse utan att behandlingen också ska vara nödvändig för det berättigade intresse som av skydd för sina personuppgifter får inte väga tyngre. Myndigheten anser att det bör övervägas att reglera civilsamhällesorganisationernas personuppgiftsbehandling. Dock utesluter inte myndigheten att personuppgiftsbehandlingenkanskeutifrån civilsamhällesorganisationernas berättigade intresse, om tillräckliga skyddsåtgärder vidtas. Myndigheten har vidare efterlyst vägledande uttalanden om hur avvägningen ska göras i praktiken. Precis som utredningen och bedömer regeringen att en civilsamhällesorganisations intresse av att söka och ta del av statligt reglerat stöd utgör ett berättigat intresse. Personuppgiftsbehandling som är nödvändig för att en civilsamhällesorganisation ska kunna få del av statligt stöd kan därmed utföras utan att den regleras men det förutsätter att civilsamhällesorganisationerna, i egenskap av personuppgiftsansvariga, gör en noggrann avvägning mellan motstående intressen. Detta gäller särskilt personuppgiftsbehandling som avser registrerade som är barn. När det gäller hur avvägningen ska göras vill regeringen hänvisa till vad , som är den domstol som slutligen bestämmer hur dataskyddsförordningen och annan EU-rätt ska tolkas och tillämpas, har uttalat. Enligt ska vid avvägningen hänsyn tas till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska det tas hänsyn till vilken typ av behandling av personuppgifter det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa. Av betydelse är vidare om den registrerade kan förvänta sig att en sådan behandling kan komma att ske (dom av , Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 57 och 58). EU- domstolen har också ansett att allvaret i den kränkning av den registrerades grundläggande rättigheter som en behandling innebär kan variera beroende på om det är möjligt att få tillgång till personuppgifterna i fråga i källor som är tillgängliga för allmänheten (dom av , Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, punkt 54 och 55, dom av , Rīgas satiksme, C-13/16, EU:C:2017:336, punkt 32, dom av , ASNEF, C-468/10 och C-469/10, EU:C:2011:777, punkt 44 och 45 och , Dataskyddsförordningen [GDPR] m.m. [, ] kommentaren till 6.1 f under rubriken om intresseavvägningen). Vägledande är också vad Artikel 29-arbetsgruppen för skydd av personuppgifter har uttalat om avvägningen. Gruppen var en oberoende europeisk arbetsgrupp som behandlade frågor om integritetsskydd och skydd av personuppgifter som bl.a. utfärdade riktlinjer för hur det tidigare dataskyddsdirektivet skulle tolkas. Gruppen har ersatts av Europeiska dataskyddsstyrelsen, som är ett EU-organ som ansvarar för tillämpningen av dataskyddsförordningen. Gruppen har beskrivit intresseavvägningen enligt dataskyddsdirektivet i huvudsak enligt följande (yttrande 6/2014 om begreppet den registeransvarigas berättigade intressen i artikel 7 f i direktiv /46/EG, s. 32). Även om den personuppgiftsansvariges berättigade intressen är mindre viktiga och inte tvingande, kan dessa i allmänhet uppväga den registrerades intressen och rättigheter om konsekvenserna för dessa intressen och rättigheter är av ännu mindre Viktiga och tvingande intressen kan i vissa fall, om de omfattas av skyddsåtgärder, även motivera betydande intrång i integriteten eller andra stora konsekvenser för de registrerades intressen eller rättigheter. Skyddsåtgärder kan minska otillbörliga konsekvenser för de registrerade och på så sätt ändra balansen mellan intressen och rättigheter till den grad att den personuppgiftsansvariges berättigade intressen inte kommer att överskuggas. Civilsamhällesorganisationerna behöver kunna behandla även känsliga personuppgifter utan samtycke av den registrerade Känsliga personuppgifter får behandlas bl.a. om den registrerade har gett sitt samtycke till behandlingen eller om uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade (artikel 9.2 a och e). Stiftelser, föreningar eller andra icke vinstdrivande organ som har ett politiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om behandlingen utförs inom ramen för en berättigad verksamhet med lämpliga skyddsåtgärder och enbart rör organets medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta. Känsliga personuppgifter som behandlas på denna grund får dock inte lämnas ut utanför organet, om inte den registrerade har gett sitt samtycke till att uppgifterna lämnas ut (artikel 9.2 d). För att en civilsamhällesorganisation ska kunna utföra nödvändig behandling av personuppgifter vid en prövning av en fråga om stöd kan organisationen dock behöva behandla känsliga personuppgifter även utan samtycke av den registrerade. I vissa fall kan civilsamhällesorganisationerna behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse Känsliga personuppgifter får, utan samtycke av den registrerade, behandlas om det är nödvändigt av hänsyn till ett viktigt allmänt intresse (artikel ). Vid behandling på denna grund krävs även att uppgifterna behandlas med stöd i unionsrätten eller medlemsstaternas nationella rätt. Bland de organisationer som ansöker om och tar del av stöd finns organisationer som utför uppgifter av allmänt intresse (jfr skäl 45). Civilsamhällesorganisationer bedriver typiskt sett verksamheter på eget initiativ, utan att organisationerna enligt författning eller särskilt beslut har getts i uppdrag av det allmänna att utföra en viss uppgift. Även inom det civila samhället finns dock organisationer som utför uppgifter som har fastställts i svensk rätt. Detta gäller exempelvis den statsbidragsfinansierade folkbildningen som bedrivs av folkhögskolor och studieförbund. Av 2 § förordningen (2015:218) om statsbidrag till folkbildningen följer att folkhögskolor och studieförbund bedriver utbildnings-, bildnings- och kulturverksamhet. Folkhögskolorna och studieförbunden har alltså i uppdrag att utföra en uppgift av viktigt allmänt intresse som har fastställts i svensk rätt. Dessa organisationer kan därmed behandla personuppgifter, inklusive känsliga sådana, inom ramen för sin verksamhet förutsatt att behandlingen är nödvändig för t.ex. bedrivande av utbildningsverksamhet (prop. 2017/18:218 s. 102 f. och 172 f.). Kompletterande nationella bestämmelser som reglerar studieförbundens och folkhögskolornas behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse har i svensk rätt antagits på förordningsnivå (se t.ex. 17 a–d §§ förordningen om statsbidrag till folkbildningen). Merparten av civilsamhällets organisationer bedriver dock verksamheter utan att uppgiften har fastställts i nationell rätt. Dessa organisationer kan därmed inte behandla personuppgifter med stöd av denna rättsliga grund, även om organisationerna bedriver sådan verksamhet som innebär att de utför en uppgift av allmänt intresse. Behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse kan vidare vara nödvändig för att en personuppgiftsansvarig ska kunna fullgöra en rättslig förpliktelse som har fastställts i svensk rätt. Så kan t.ex. vara fallet för en civilsamhällesorganisation som har beviljats statligt reglerat stöd. I den mån en organisation omfattas av en i svensk rätt fastställd skyldighet att redovisa eller anmäla vissa uppgifter till ett beslutsorgan kan organisationen, utan samtycke av den registrerade, utföra personuppgiftsbehandling med hänvisning till att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse. Organisation får då även behandla känsliga personuppgifter. En civilsamhällesorganisations anspråk att få ta del av statligt stöd utgör ett rättsligt anspråk Behandling av känsliga personuppgifter är tillåten om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f). Sådan behandling kan utföras utan samtycke av den registrerade. Dataskyddsförordningen innehåller inte någon definition av begreppet rättsligt anspråk och frågan om vad som utgör ett rättsligt anspråk har inte heller prövats av . Det är därför inte helt klart vilka anspråk som omfattas. Begreppet rättsligt anspråk förekom även dataskyddsdirektiv5 och den numera upphävda personuppgiftlagen (1998:204). Enligt denna reglering fick känsliga personuppgifter behandlas om behandlingen var nödvändig för att rättsliga anspråk skulle kunna fastställas, göras gällande eller försvaras (se 16 § första stycket c personuppgiftslagen, jfr artikel 8.2 e i direktivet). Inte heller enligt den tidigare regleringen fanns det någon klar definition av vad som avsågs med ett rättsligt anspråk. Begreppet tolkades dock i svensk rätt så att det avsåg anspråk om vilka man kan föra talan i domstol eller ett domstolsliknande organ och som kan utkrävas av eller med hjälp av statsmakterna, t.ex. (se och , Personuppgiftslagen – En kommentar [, ], kommentaren till 16 § första stycket c). Bestämmelsen om behandling av känsliga personuppgifter med rättsligt anspråk som grund har getts en delvis annorlunda utformning i dataskyddsförordningen i jämförelse med dataskyddsdirektiv och personuppgiftslagen. Av bestämmelsens ordalydelse följer numera att känsliga personuppgifter får behandlas om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del 5Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 2021/22:272 av domstolarnas dömande verksamhet. Därutöver innehåller skälen till dataskyddsförordningen, till skillnad från det tidigare direktivet, vissa klargöranden gällande begreppets innebörd. I skälen till förordningen anges bl.a. att behandling av känsliga personuppgifter bör tillåtas där så krävs för fastställande, utövande eller försvar av rättsliga anspråk, oavsett om detta sker inom ett domstolsförfarande eller inom ett administrativt eller ett utomrättsligt förfarande (skäl 52). Detta talar för en vidare tolkning av begreppet rättsligt anspråk än endast sådana anspråk som kan göras gällande genom ett domstolsförfarande. Begreppet rättsligt anspråk förekommer även i andra bestämmelser i Viss ledning gällande hur begreppet ska tolkas kan hämtas utifrån hur begreppet har tolkats i dessa bestämmelser. regleringen av överföring av personuppgifter till tredjeländer eller internationella organisationer får sådan överföring ske bl.a. om det är nödvändigt för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 49.1 e). Av skälen till förordningen framgår att det under vissa omständigheter bör vara möjligt att överföra personuppgifter till tredjeländer eller internationella organisationer bl.a. när överföringen är nödvändig med hänsyn till ett rättsligt anspråk, oavsett om detta sker inom ett rättsligt förfarande eller i ett administrativt eller utomrättsligt förfarande, inbegripet förfaranden inför tillsynsorgan (skäl 111). Europeiska dataskyddsstyrelsen har antagit riktlinjer gällande tolkningen av denna bestämmelse och uttalat att med rättsligt anspråk avses ett brett spektrum av verksamheter inom bl.a. rättsliga eller administrativa förfaranden, inbegripet förfaranden inför ett tillsynsorgan. av termerna rättsligt anspråk och förfarande innebär dock att det relevanta förfarandet måste ha en grund i lag och innefatta en formell, rättsligt Eftersom behandlingen ska utföras inom ett förfarande krävs en nära koppling mellan behandlingen av uppgifter och ett specifikt förfarande när det gäller den aktuella situationen (se Europeiska dataskyddsstyrelsens riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679, antagna ). Utöver anspråk inom ett domstolsförfarande omfattar alltså begreppet rättsligt anspråk även anspråk inom bl.a. ett administrativt förfarande. som utgör ett administrativt förfarande definieras inte i förordningen. Begreppet förekommer dock även i andra EU- och folkrättsliga akter som en benämning för olika förfaranden vid handläggningen av ärenden vid en stats nationella myndigheter. handläggning av ärenden, s.k. förvaltningsärenden, utgör därmed som utgångspunkt ett administrativt förfarande. Detta begrepp tar, till skillnad från det vidare begreppet administrativa förfaranden, tydligt sikte på ett prövningsförfarande som ger den registrerade en möjlighet att få ett klagomål prövat av ett, från den personuppgiftsansvarige, fristående offentligt organ (se artikel 77–79). Även detta talar för att begreppet administrativa förfaranden bör ges en vidare betydelse. Enligt utredningens mening bör mot den bakgrunden begreppet rättsligt anspråk tolkas så att även förvaltningsrättsliga anspråk som inte kan bli föremål för domstolsprövning kan utgöra rättsliga anspråk. reglerat stöd till civilsamhället utgör en offentligrättsligt reglerad förmån som, efter ansökan, kan tilldelas en organisation som uppfyller villkoren Genom en ansökan förklarar en civilsamhällesorganisation att organisationen, utifrån vissa i rättsordningen reglerade villkor, gör anspråk på att få ta del av det sökta stödet. Detta måste enligt utredningen anses utgöra ett sådant anspråk inom ett administrativt förfarande som, likt ansökan om andra offentliga förmåner, kan utgöra ett rättsligt anspråk har påpekat att denna tolkning skiljer sig från den tolkning som myndigheten har gjort. yttrade i två mål vid Förvaltningsrätten i att det av dataskyddsförordningen inte framkommer att den nuvarande undantagsbestämmelsen om rättsliga anspråk ska tolkas annorlunda jämfört med tidigare reglering. Myndigheten bedömde att begreppet rättsligt anspråk, i avsaknad av vägledning från t.ex. , fortsatt ska tolkas i linje med vad som gällde enligt 1995 års dataskyddsdirektiv och personuppgiftslagen (se Förvaltningsrätten i dom i mål nr 9379-19 och 9408-19). mening är de skäl som utredningen för fram inte tillräckligt övertygande för att myndigheten ska ändra Myndigheten anser att lagstiftaren i stället bör överväga att reglera personuppgiftsbehandlingen, dels för att se till att civilsamhällesorganisationerna inte drabbas av den osäkerhet som det oklara rättsläget innebär, dels för att se till att den personuppgiftsbehandling som organisationerna kommer att utföra lever upp till kraven på proportionalitet och att det vidtas lämpliga och särskilda åtgärder för att säkerställa de registrerades grundläggande rättigheter och Till skillnad från ansluter sig regeringen till utredningens bedömning i fråga om att civilsamhällesorganisationernas anspråk på att ta del av statligt reglerat stöd utgör ett rättsligt anspråk, oavsett om beslutet om stöd kan överklagas till allmän förvaltningsdomstol eller inte. som skälen till dataskyddsförordningen talar för att begreppet ska tolkas vidare än den tidigare tolkningen av begreppet i 1995 års dataskyddsförordningen framgår att behandling av känsliga personuppgifter bör vara tillåten för att fastställa, göra gällande eller försvara rättsliga anspråk, oavsett om detta sker inom ett domstolsförfarande eller inom ett administrativt förfarande. anger inte att detta endast ska gälla inom sådana administrativa förfaranden som kan bli föremål för prövning i domstol och som kan utkrävas av eller med hjälp av statsmakterna. dataskyddsstyrelsen har uttalat att begreppet rättsligt anspråk avser ett brett spektrum av verksamheter inom bl.a. rättsliga eller administrativa Dataskyddsstyrelsen har därmed gjort en vid tolkning av vilka förfaranden som kan omfattas av begreppet. enligt regeringens mening vara att ärenden om statligt reglerat stöd som hanteras inom ramen för förvaltningsrättsliga förfaranden omfattas av Regeringen anser därmed, till skillnad från myndigheten, att någon ytterligare reglering inte krävs. bedömning att en civilsamhällesorganisation, med undantag från förbudet 2021/22:272 att behandla känsliga personuppgifter, kan behandla sådana uppgifter förutsatt att det är nödvändigt för att fastställa, göra gällande eller försvara organisationens anspråk på stöd. Civilsamhällesorganisationerna får med grund i rättsligt anspråk behandla uppgifter om brott I avsnittet ovan har regeringen gjort bedömningen att en civilsamhällesorganisation ska anses ha ett rättligt anspråk i ett ärende om statligt reglerat stöd till civilsamhället. Denna bedömning medför även att en organisation med stöd av artikel 10 i dataskyddsförordningen och 5 § kompletteringsförordningen kan behandla uppgifter om lagöverträdelser, förutsatt att behandlingen är nödvändig för att fastställa, göra gällande eller försvara organisationens anspråk på stöd. En ny lag ska säkerställa skyddet för Regeringens förslag: Det ska införas en ny lag om behandling av