prop · H903155 · 2022-03-22 00:00:00 — Regeringen föreslår att in- och utpasseringskontroller ska utföras av en polisman eller av en ordningsvakt som förordnats av . I normalfallet kommer ordningsvakter att kunna förordnas som sådana kontrollanter. Dessa kategorier är vanligtvis anställda av bevakningsföretag och anlitas av olika uppdragsgivare för längre eller . Det innebär att enskilda kommer att vara delaktiga i arbetet med kontrollerna och kan komma att inför provtillfället få del av information som i vissa fall inte bör röjas. Visserligen kan de personer som utför in- och utpasseringskontroller sägas delta i den ansvariga myndighetens verksamhet när de väl är på plats under provtillfället och de blir därmed bundna av sekretessen i enlighet med vad som nämns ovan. Att betrakta dessa personer såsom en del av den ansvariga myndigheten är dock inte möjligt då de har sin anställning hos t.ex. bevakningsföretag med vilket myndigheten har träffat avtal. I kontakterna med ett sådant företag kan det vidare bli oundvikligt att också andra personalkategorier hos den privata aktören får kännedom om planerade kontrollplatser. Visserligen kan tystnadspliktsklausuler i myndighetens uppdragsavtal med ett företag med krav på tystnadspliktsåtagande från de anställda ge ett visst skydd. Sådan avtalad tystnadsplikt är dock av civilrättslig karaktär och ger enligt regeringens bedömning inte ett tillräckligt skydd. En bestämmelse om tystnadsplikt för personal hos en enskild aktör som på beskrivet sätt får reda på känsliga uppgifter bör därför införas i den föreslagna lagen om in- och utpasseringskontroller vid högskoleprovet. Bestämmelsen bör motsvara den föreslagna sekretessbestämmelsen i OSL och omfatta uppgifter om planering och andra förberedelser av kontroller enligt den nya lagen. Med tystnadsplikt avses i detta sammanhang förbud mot att röja en uppgift muntligen eller genom att en handling med uppgiften i lämnas ut. tystnadsplikt innebär en begränsning av yttrandefriheten enligt RF och den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Regeringen återkommer nedan med en bedömning av förslagets förenlighet med dessa. Information om var kontrollerna ska utföras kan förekomma i alla delar av och på alla nivåer inom en enskild aktör. Bestämmelsen bör därför inte begränsas till vissa kategorier befattningshavare, utan bör gälla allmänt för personer inom enskild verksamhet som kommer i kontakt med sådana uppgifter på grund av tjänsteleverans åt ansvarig myndighet och som inte anses delta i myndigheterna på sätt som anges i 2 kap. 1 § OSL. I bestämmelsen bör det finnas en upplysning om att OSL tillämpas i offentlig verksamhet. I praktiken kommer tystnadsplikten för en person vid ett bevakningsföretag som utses till särskild högskoleprovskontrollant i huvudsak att omfatta uppgifter som direkt eller indirekt kan röja var kontroll med in- eller utpasseringskontroll med kroppsvisitation vid högskoleprovet avses utföras. På en annan nivå inom t.ex. ett bevakningsföretag kan det dock troligen förekomma mer övergripande information som mottagits från ansvarig myndighet och som omfattas av tystnadsplikten. Av bestämmelsen bör framgå att det endast är obehörigt röjande av en uppgift som är förbjudet. Som obehörigt röjande anses t.ex. att röja uppgift om var en kontroll ska ske, om det motverkar syftet med kontrollen. Den som ska utföra en kontroll kan samråda med den ansvariga myndigheten om vilka uppgifter som kan anses vara av sådan karaktär att de omfattas av sekretess och därmed också kommer att omfattas av tystnadsplikt enligt den nya lagen. Som nämnts ovan utgör bestämmelser om tystnadsplikt en begränsning av yttrandefriheten enligt 2 kap. 1 § RF och artikel 10 i . gäller som svensk lag (lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna) och enligt 2 kap. 19 § RF får lag eller annan föreskrift inte meddelas i strid med åtaganden på grund av . Enligt 2 kap. 20–21 §§ RF får begränsningar i yttrandefriheten endast göras i lag under vissa förutsättningar. En begränsning får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Begränsningen får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Av 2 kap. 23 § RF framgår vidare att yttrandefriheten endast får begränsas av vissa särskilda angivna ändamål bl.a. med hänsyn till rikets säkerhet, enskildas anseende, privatlivets helgd eller om särskilt viktiga skäl föranleder det. Även enligt får yttrandefriheten inskränkas under vissa förutsättningar. Sådana begränsningar måste vara föreskrivna i lag och nödvändiga i ett demokratiskt samhälle med hänsyn till statens säkerhet, till den territoriella integriteten eller den allmänna säkerheten, till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller för annans goda namn och rykte eller rättigheter, för att förhindra att förtroliga underrättelser sprids eller för att upprätthålla domstolarnas auktoritet och opartiskhet. 2021/22:155 Regeringen har i avsnitt 6.3 bedömt att de föreslagna in- och utpasseringskontrollerna är förenliga med skyddet i RF mot kroppsvisitation och med . Dessa kontroller skulle inte vara effektiva om inte uppgifter om planering och andra förberedelser av kontroller enligt den nya lagen omfattas av sekretess hos myndigheter respektive tystnadsplikt hos de enskilda som får del av information som ett led i att de kommer i kontakt med sådana uppgifter på grund av tjänsteleverans åt ansvarig myndighet och som inte anses delta i myndigheterna på sätt som anges i 2 kap. 1 § OSL. Detta innebär att de skäl som har anförts till varför in- och utpasseringskontrollerna är förenliga med RF och i förlängningen också är relevanta för bedömningen av om den inskränkning av yttrandefriheten som de föreslagna bestämmelserna om tystnadsplikt innebär är förenliga med RF:s och skydd för yttrandefriheten. Regeringen bedömer att inskränkningen görs för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle av särskilt viktiga skäl samt att begräsningen inte går utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och att den inte heller sträcker sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen föreslås också införas i lag. Sammantaget bedömer regeringen att den föreslagna tystnadsplikten är förenlig med RF och . Den som uppsåtligen bryter mot en föreskriven tystnadsplikt kan dömas för brott mot tystnadsplikt enligt 20 kap. 3 § . Påföljden är böter eller fängelse i högst . Den som begår gärningen av oaktsamhet kan dömas till böter. I ringa fall ska inte dömas till ansvar. Detta straffstadgande är dock subsidiärt i förhållande till andra straffstadganden. Rätten att meddela och offentliggöra uppgifter Den tystnadsplikt som regeringen föreslår ska alltså gälla för personer i enskild verksamhet. Syftet med tystnadsplikten är att skapa ett uppgiftsskydd som motsvarar det som kommer att gälla enligt den föreslagna sekretessbestämmelsen i OSL. På motsvarande sätt som när det gäller den föreslagna nya sekretessbestämmelsen i OSL anser regeringen att den föreslagna tystnadsplikten inte ska ha företräde framför rätten att meddela och offentliggöra uppgifter. Regeringen föreslår därför ingen begränsning av denna rätt. 8 Behandlingen av personuppgifter är förenlig med EU:s dataskyddsförordning De förslag som lämnas i denna proposition innebär att den myndighet som regeringen bestämmer kan komma att behöva behandla personuppgifter inför genomförande av in- och utpasseringskontroller om provdeltagare har medicinska hjälpmedel som kan ge utslag vid sådana kontroller eller om en provdeltagare pga. sådana hjälpmedel inte kan passera t.ex. en larmbåge (se avsnitt 6.4.5). Myndigheten kan vidare behöva behandla personuppgifter om en provdeltagare vägrar att genomgå en in- eller ut- passeringskontroll och om beslut om sanktioner fattas mot provdeltagaren . 2021/22:155 med anledning av detta (avsnitt 6.4.6). Personuppgifter kan också behöva behandlas om en provdeltagare överklagar ett sådant beslut (avsnitt 6.4.8) eller om föremål som provdeltagaren bär på sig omhändertas och det görs en anmälan till polisen (avsnitt 6.4.7). Nedan görs en analys av hur sådan personuppgiftsbehandling förhåller sig till dataskyddsregelverket. 8.1Det finns EU-rättsliga och nationella bestämmelser om personuppgiftsbehandling EU:s dataskyddsförordning kompletteras av nationella bestämmelser och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd dataskyddsförordningen, är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsländer. Förordningen utgör den generella regleringen av personuppgiftsbehandling inom EU. Den kompletteras i av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddslagen är subsidiär till annan lag eller förordning, dvs. bestämmelser om behandling av personuppgifter som finns i sektorsspecifika lagar och förordningar och som avviker från dataskyddslagen har företräde (1 kap. 6 § dataskyddslagen). Behovet av reglering av den behandling av personuppgifter som sker på utbildningsområdet analyserades i samband med införandet av dataskyddsförordningen och dataskyddslagen i propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218). Den befintliga dataskyddsregleringen bedömdes vara tillräcklig för den personuppgiftsbehandling som sker i samband med högskoleprovet . Den lag som föreslås i denna proposition innebär att det tillkommer viss personuppgiftsbehandling. För att den ska vara tillåten krävs för det första att det finns en rättslig grund. Det krävs en rättslig grund för att kunna behandla personuppgifter Behandling av personuppgifter som faller under dataskyddsförordningens tillämpningsområde får bara ske om det finns en tillämplig rättslig grund. De rättsliga grunderna regleras i artikel 6.1 i dataskyddsförordningen och är •samtycke (artikel 6.1 a), •avtal (artikel 6.1 b), •rättslig förpliktelse (artikel 6.1 c), •skydd av vissa intressen (artikel 6.1 d), •utförande av uppgift av allmänt intresse och myndighetsutövning (artikel 6.1 e), samt •intresseavvägning (artikel 6.1 f). 2021/22:155 Om det inte finns någon rättslig grund är behandlingen inte laglig och får därmed inte utföras. De olika rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. I skäl 43 till dataskyddsförordningen förtydligas att utrymmet för att myndigheter ska kunna basera en behandling av personuppgifter på den rättsliga grunden samtycke är begränsat. Det är vidare inte tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grunden intresseavvägning. De rättsliga grunderna rättslig förpliktelse (dvs. att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige), utförande av allmän uppgift och myndighetsutövning (dvs. att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning) ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3). Enligt skäl 41 i dataskyddsförordningen bör den rättsliga grunden vara tydlig och precis och dess tillämpning bör vara förutsägbar för de personer som omfattas av den. Närmare om den rättsliga grunden uppgift av allmänt intresse I propositionen Ny dataskyddslag framför regeringen att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt uttalanden i förarbetena av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. Detta måste även gälla i dataskyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse (prop. 2017/18:105 s. 56 och 57). Som nämnts ovan krävs enligt dataskyddsförordningen att den grund för behandlingen som avses i punkt 6.1 c och e är fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Detta innebär inte att det krävs en reglering i den nationella rätten av själva personuppgiftsbehandlingen, utan det som måste ha stöd i rättsordningen är i stället uppgiften av allmänt intresse (prop. 2017/18:105 s. 48 och 49). Myndigheternas uppdrag och åligganden framgår av lagar, förordningar och andra regeringsbeslut, antagna i enlighet med om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler (prop. 2017/18:105 s. 57). Enligt art. 6.3 ska vidare unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det konstateras i propositionen Ny dataskyddslag att bestämmelsen motsvarar det krav som ställer på lagstiftaren i en rättsstat. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna har inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . Mot denna bakgrund bör utgångspunkten vara att nu aktuellt krav i dataskyddsförordningen är uppfyllt i fråga om bl.a. de uppgifter av allmänt intresse som fastställs i enlighet med svensk rätt prop. 2017/18:105 s. 50). För att behandling av personuppgifter ska vara tillåten under åberopande av den rättsliga grunden uppgift av allmänt intresse krävs också att behandlingen är nödvändig för att utföra uppgiften av allmänt intresse (art. 6.3). Detta ska enligt uttalanden i propositionen Ny dataskyddslag inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening. Kravet på att ändamålet ska vara nödvändigt för att utföra en uppgift av allmänt intresse innebär alltså i sig en spärr mot helt onödig behandling av personuppgifter eller sådan behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses (prop. 2017/18:105 s. 60). Ovanstående kommer till uttryck i 2 kap. 2 § dataskyddslagen, där det anges att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Närmare om den rättsliga grunden myndighetsutövning Som framgått får personuppgifter också behandlas om syftet med behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e och artikel 6.3 dataskyddsförordningen). Myndighetsutövning som rättslig grund för behandlingen ska, likhet med den rättsliga grunden utförande av uppgift av allmänt intresse, vara fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). I propositionen Ny dataskyddslag anges att begreppet myndighetsutövning har en EU-gemensam innebörd. Utgångspunkten i svensk rätt är att det som i brukar anses som myndighetsutövning faller under begreppet och att detta bör gälla även fortsättningsvis. Myndighetsutövning mot enskilda karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är ett uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Myndighetsutövning behöver ha stöd i gällande rätt och befogenheten att utöva myndighet är därför alltid fastställd i en författning i . Den rättsliga grunden myndighetsutövning som grund för att behandla personuppgifter kan tillämpas av alla personuppgiftsansvariga som har tilldelats myndighetsutövande befogenheter (prop. 2017/18:105 s. 62 och 63). Ovanstående kommer till uttryck i 2 kap. 2 § dataskyddslagen, där det anges att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Närmare om den rättsliga grunden rättslig förpliktelse En behandling av personuppgifter är tillåten om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. För att denna grund ska kunna tillämpas krävs, i likhet med de rättsliga grunderna utförande uppgift av allmänt intresse och myndighetsutövning, att den rättsliga förpliktelsen är fastställd i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av samt att unionsrätten eller medlemsstaternas nationella rätt uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas (artikel 6.1 c och artikel 6.3 dataskyddsförordningen). När personuppgiftsbehandlingen grundar sig på en rättslig förpliktelse ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3). I propositionen Ny dataskyddslag anges att detta krav torde innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår. Det ska vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske. Detta kan exempelvis ske genom en författning som anger att en näringsidkare i en viss situation är skyldig att lämna uppgifter till en myndighet eller en domstol (se prop. 2017/18:105 s. 54). Med detta får förstås att ändamålet med personuppgiftsbehandling som grundar sig på rättslig förpliktelse bör framgå av det sammanhang där den rättsliga förpliktelsen fastställs. Ovanstående kommer till uttryck i 2 kap. 1 § dataskyddslagen där det anges att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Behandling av vissa kategorier av uppgifter och av personnummer När det gäller vissa typer av uppgifter ställs det särskilt höga krav i dataskyddsförordningen för att de ska få behandlas. Enligt artikel 9.1 är det förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Sådana uppgifter benämns i dataskyddsförordningen särskilda kategorier av personuppgifter. I dataskyddslagen benämns de i stället känsliga personuppgifter (3 kap. 1 §). Det finns undantag från förbudet i artikel 9.2 a–j. Av artikel följer att behandling av känsliga personuppgifter får utföras om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt dataskyddslagen får en myndighet behandla känsliga personuppgifter med stöd av artikel i EU:s dataskyddsförordning 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § första stycket dataskyddslagen). Vid sådan behandling är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (3 kap. 3 § andra stycket dataskyddslagen). Behandling av nationella identifikationsnummer regleras i artikel 87 i dataskyddsförordningen. Enligt den artikeln får medlemsstaterna närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen. Enligt 3 kap. 10 § dataskyddslagen får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Behandling av personuppgifter som rör lagöverträdelser Av artikel 10 dataskyddsförordningen följer att uppgifter om lagöverträdelser får behandlas om det sker under kontroll av myndighet. Regeringen har i proposition Ny dataskyddslag (prop. 2017/18:105) bedömt att det innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att behandla uppgifter som rör lagöverträdelser (s. 99). Det har införts en bestämmelse i 3 kap. 8 § dataskyddslagen som förtydligar att myndigheter får behandla sådana uppgifter som avses i artikel 10 dataskyddsförordningen. Närmare om den föreslagna lagregleringen och den personuppgiftsbehandling som förslaget ger upphov till Den föreslagna lagen om in- och utpasseringskontroller vid högskoleprovet innebär att det införs en möjlighet att genomföra kontroll med kroppsvisitation av provdeltagare vid inpassering till eller utpassering från en lokal där högskoleprovet genomförs (in- och utpasseringskontroller), se avsnitt 6.4.1. Det föreslås att den myndighet som regeringen bestämmer ska besluta om och ansvara för genomförandet av kontrollerna, åtgärder mot provdeltagare som vägrar att genomgå in- eller utpasseringskontroller och åtgärder som avser omhändertagna föremål (avsnitt 6.4.3, 6.4.6 och 6.4.7).