prop · H903179 · 2022-03-22 00:00:00 — Som en del av samverkan kan få del av information som kan identifiera en person (så kallad visselblåsare) som rapporterat överträdelser av det regelverk som en fondförvaltare är skyldig att följa. Sådana uppgifter skyddas av absolut sekretess hos enligt 30 kap. 4 b och 6 b §§. Dessa bestämmelser gäller dock inte hos eftersom det är som utövar den verksamhet som nämnda bestämmelser hänvisar till. Det är angeläget att nu aktuella uppgifter lämnas till om det har betydelse för dess uppdrag inom premiepensionssystemet. För att så ska kunna ske utan att överlämnandet motverkar visselblåsar- institutets syfte anser regeringen i likhet med att sekretess även ska gälla för uppgifterna hos . Den sekretess som gäller för uppgifterna hos bör därför överföras till . Regeringen föreslår att bestämmelsen om överföring av sekretess ska placeras i 30 kap. OSL som reglerar sekretess till skydd för enskild i verksamhet som rör tillsyn med mera. Den nya bestämmelsen bör lämpligen införas i en ny paragraf, 8 d §. har framfört att det bör övervägas om även den myndigheten bör omfattas av den föreslagna bestämmelsen. Regeringen konstaterar att den föreslagna bestämmelsen har sin grund i den samverkan som regeringen anser bör ske mellan och avseende fonder och fondförvaltare (se avsnitt 9.4) och avser information som kan identifiera en så kallad visselblåsare och som skulle kunna komma att lämnas till myndigheten från . Regeringen kan inte se att det finns ett behov av att även Pensions- myndigheten tar del av uppgifter om visselblåsare. Därför bedömer regeringen att det inte finns skäl för att ska omfattas av den föreslagna bestämmelsen. 2021/22:179 11 11.1EU:s dataskyddsförordning, dataskyddslagen samt den sektorspecifika regleringen och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i det följande kallad EU:s dataskyddsförordning, började tillämpas och är bindande och direkt tillämplig i samtliga EU:s medlemsländer. EU:s dataskyddsförordning tillåter och ibland förutsätter att medlems- staterna kompletterar förordningen med nationell lagstiftning. Dataskyddsförordningen är tillämplig på sådan behandling av person- uppgifter som helt eller delvis sker på automatisk väg och på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). För att en behandling av personuppgifter ska vara laglig krävs att den bland annat har stöd i en eller flera rättsliga grunder (artikel 6.1). Utöver det grundläggande kravet på att all behandling måste ha stöd i åtminstone en rättslig grund omgärdas varje behandling av person- uppgifter av bland annat flera grundläggande principer (artikel 5). För vissa typer av personuppgifter finns dessutom särskild reglering i dataskyddsförordningen. Exempelvis är det som huvudregel förbjudet att behandla så kallade känsliga personuppgifter (artikel 9.1), om inte något av de undantag som anges i artikel 9.2 är tillämpliga. Även uppgifter om lagöverträdelser regleras särskilt i dataskydds- förordningen. Av artikel 10 framgår att behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av en myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. 11.1.2Dataskyddslagen och sektorsspecifik reglering EU:s dataskyddsförordning kompletteras i av bland annat lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning, i det följande kallad dataskyddslagen, och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskydds- förordning. Dessa författningar är av generell karaktär och reglerar bland annat frågor om rättslig grund för behandling av personuppgifter, person- nummer, känsliga personuppgifter och uppgifter om lagöverträdelser, till- synsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i register- författningar. Inom socialförsäkringsområdet finns den sektorspecifika regleringen Prop. 2021/22:179 om behandling av personuppgifter i 114 kap. socialförsäkringsbalken (SFB). Enligt 114 kap. 2 § SFB tillämpas bestämmelserna i kapitlet vid behandling av personuppgifter i verksamhet som gäller förmåner enligt SFB samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av eller . I regeringsformen fastslås att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket regeringsformen). Detta skydd mot integritetsintrång kan dock begränsas genom lag (2 kap. 20 § första stycket och 21 § regeringsformen). 11.2Fondtorgsnämndens behandling av personuppgifter 11.2.1 Personuppgiftsbehandling vid förvaltning av fondtorget I verksamhet att förvalta fondtorget ingår att upphandla fonder till premiepensionens fondtorg, granska fondförvaltare och fonderna på fondtorget inom ramen för avtalsuppföljning och vid behov föra statens talan. uppgifter närmare regleras i lag (se avsnitt 9.1). uppgifter ingår bland annat att utvärdera och bedöma fondförvaltarens förvaltning och organisation samt granska efterlevnad av avtal. ska kunna fullgöra sina författningsreglerade uppgifter kommer myndigheten att behöva behandla personuppgifter. Personuppgiftsbehandlingen kommer främst att avse företrädare för fondförvaltare såsom till exempel ägare, personer med ledande befatt- ningar och andra nyckelpersoner hos förvaltaren och företrädare för samarbetspartner och externa kapitalförvaltare. Gemensamt för de personuppgifter som kommer att behandlas är att de ska gälla eller ha relevans för upphandling och avtalsuppföljning och avse uppgifter som rör vederbörandes yrkesutövning, för att det ska vara motiv- erat att behandla dem. De personuppgifter som kommer att behandlas torde därför främst avse namn, roll och befattning och kontaktuppgifter. Även vissa andra mer integritetskänsliga uppgifter kan komma att behandlas, såsom till exempel personnummer, uppgift om en person är eller har varit föremål för utredning eller ingripande från tillsyns- myndighet, träffats av en disciplinåtgärd från en branschorganisation eller liknande eller om en person har näringsförbud eller varit föremål för konkurs- och insolvensförfaranden eller annat underlag kopplat till en persons vandel och anseende i yrkesutövningen. Det går inte att utesluta att i vissa fall kommer att behandla uppgifter om lag- 2021/22:179 överträdelser. Det torde dock ytterst sällan finnas anledning för myndig- heten att behandla sådana uppgifter som kategoriseras som känsliga personuppgifter. Däremot kan det inte uteslutas att det i ett ärende, i enstaka undantagsfall, skulle kunna lämnas sådana uppgifter. Personuppgifterna kan komma att lämnas till under upphandlingsförfarandet eller inkomma i samband med den granskning som myndigheten har fått i uppdrag att genomföra eller genom samverkan med andra myndigheter eller på annat sätt. 11.2.2Personuppgiftsbehandling inom ramen för samverkan med föreslagna uppgift att förvalta fondtorget innebär att inte längre kommer att sluta fondavtal och genomföra avtalsuppföljning med fondförvaltarna (se avsnitt 9.1). är dock fortsatt försäkringsgivare för premie- pensionen med bland annat ansvar för administration av pensionsspararnas val av fonder och för daglig fondhandel i premiepensionssystemet. Detta innebär att även fortsättningsvis kommer att vara den myndighet som behandlar pensionssparares uppgifter inom ramen för premiepensionen. och kommer dock till- sammans att ansvara för förvaltningen av premiepensionssystemet, vilket kräver ett nära samarbete. Regeringen föreslår därför en sekretessbrytande samverkansskyldighet (se avsnitt 9.4). För att kunna bedriva sina respektive verksamheter kommer och Pensions- myndigheten att behöva utbyta uppgifter med varandra när det är nödvändigt, till exempel i samband med uppföljning av avtal. Utbytet av uppgifter torde främst bestå av information om fonder och fondförvaltare, men det går inte att utesluta att samverkan i vissa fall kan komma att inkludera personuppgifter när det är nödvändigt. 11.2.3Personuppgiftsbehandling inom ramen för samverkan med andra myndigheter Inom ramen för verksamhet finns även ett behov att samverka med andra myndigheter utöver . kommer att behöva samverka med om fondförvaltare och fonder, till exempel för att kontrollera lämnade uppgifter i en upphandling men även i avtalsuppföljningen. Regeringen avser att se över behovet av reglering av en sådan samverkan (se avsnitt 9.4). Inom ramen för en sådan samverkan skulle även personuppgifter kunna komma att utbytas när det är nödvändigt. Det skulle exempelvis kunna avse uppgifter om huruvida företrädare för fondförvaltare och andra personer som är i affärsförbindelse eller liknande förbindelse med fond- förvaltaren, exempelvis uppgift om huruvida en person är eller har varit föremål för utredning eller ingripande från tillsynsmyndighet eller för- Prop. 2021/22:179 ändringar i ägarstrukturer. Det kommer även att finnas ett behov för att samverka med och i syfte att stärka pensionssparares och pensionärers ställning som konsumenter på finans- marknaden. Regeringen kommer även att se över förutsättningarna för en sådan samverkan (se avsnitt 9.4). Inom ramen för en sådan samverkan skulle behöva samarbeta och utbyta information med och i frågor av betydelse för premiepensionssystemet när det är påkallat, vilket i vissa fall torde kunna inkludera personuppgifter. Förutsättningarna för samverkan kommer även ses över vad gäller till exempel arbete mot viss organiserad brottslighet, vilket skulle kunna inbegripa att personuppgifter lämnas ut till andra myndigheter (avsnitt 9.4). 11.3Reglering om personuppgiftsbehandling hos Regeringens bedömning: EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning till- sammans med reglering av uppdrag utgör tillräcklig reglering för den personuppgiftsbehandling som kommer att äga rum inom ramen för uppgift att förvalta premiepensionens fondtorg. Någon särskild reglering för Fondtorgs- nämndens behandling av personuppgifter behöver inte införas. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna: Två remissinstanser har yttrat sig i denna del. framför att den inom ramen för samverkan med den nya myndigheten kommer att behandla personuppgifter som kan vara av integritetskänslig karaktär. behandlar person- uppgifter inom ramen för granskning av fondförvaltare och fonder. Det gäller främst uppgifter om företrädare i de företag som tillhandahåller fonder på fondtorget, men även uppgifter om pensionssparare före- kommer. Om avsikten är att den nya myndigheten ska ha tillgång till personuppgifter som hämtas från it-system anser myndigheten att det behöver utredas på vilket sätt det ska ske och om sådan personuppgiftsbehandling får ske. () anser att betänkandet brister i utredningen av den behandling av personuppgifter som är tänkt att utföras, vilket medför att myndigheten inte kan ta ställning till om den tänkta personuppgiftsbehandlingen uppfyller kraven i EU:s dataskyddsför- ordning och är godtagbar utifrån integritetsskyddssynpunkt. uppger att den därför inte kan tillstyrka betänkandet i denna del. Skälen för regeringens bedömning Inledningsvis konstaterar regeringen i likhet med utredningen att EU:s dataskyddsförordning kommer att vara tillämplig på behandling av personuppgifter. Utifrån Fondtorgsnämndens föreslagna uppgift att upphandla fonder till fondtorget för premiepensionen, granska fondförvaltare och fonderna på fondtorget inom ramen för avtalsuppföljning kommer behandlingen främst avse företrädare för fondförvaltare och dennes samarbetspartner samt avse personuppgifter som gäller eller har relevans för vederbörandes yrkes- utövning. Behandlingen av dessa personuppgifter är inte ny utan är sådan som redan förekommer vid i myndighetens verksamhet att sluta fondavtal och genomföra avtalsuppföljning med fondförvaltarna men som framöver föreslås utföras hos . Regeringen konstaterar vidare att fortsatt kommer att behandla personuppgifter om pensionssparare i sin roll som försäkringsgivare för premiepensionen med bland annat ansvar för administration av pensionsspararnas val av fonder och för daglig fond- handel i premiepensionssystemet. Den personuppgiftsbehandlingen kommer fortsatt vara särskilt reglerad i 114 kap. SFB. I likhet med utredningen anser regeringen att premiepensions- verksamhet i förhållande till fondförvaltarna inte kan anses omfattas av 114 kap. SFB eftersom sådan verksamhet inte kan anses utgöra verk- samhet som gäller förmån enligt SFB (se 114 kap. 2 § SFB). Detta innebär att 114 kap. SFB inte är tillämplig på verksamhet i förhållande till fondförvaltare. Den personuppgiftsbehandling som utförs hos i förhållande till fondförvaltarna, men som framöver föreslås utföras hos , regleras således inte i en särskild registerförfattning. Särskild lag bedöms inte nödvändig I regeringsformen fastslås att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket regeringsformen). Detta skydd mot integritetsintrång kan dock begränsas genom lag (2 kap. 20 § första stycket och 21 § regeringsformen). I förarbetena till bestämmelsen i 2 kap. 6 § andra stycket regerings- formen anges att vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än till exempel en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Även omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan vara av betydelse. Det kan också beaktas på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnande uppgifter (prop. 2009/10:80 s. 183–185). Regeringen konstaterar att behandling av person- uppgifter i premiepensionsverksamheten kommer att ske utan samtycke från de registrerade. Regeringen konstaterar att i viss utsträckning kommer att behandla integritetskänsliga uppgifter som främst rör före- trädare för fondförvaltare samt andra personer som är i affärsförbindelse med förvaltaren som är kopplat till deras yrkesutövning, såsom personlig vandel och anseende. I vissa fall kommer även uppgifter om lag- överträdelser att behandlas. Uppgifternas karaktär kan tala för att behandlingen innebär ett betydande intrång. Det bör dock beaktas att det rör sig om specifika uppgifter som är kopplade till en persons yrkes- utövning. Utifrån uppgifterna går det inte att få någon mer ingående bild av den enskildes personliga förhållanden. Vikt måste också läggas vid ändamålet med behandlingen. Uppgifterna kommer att behandlas i syfte att bedöma lämpligheten och tillförlitligheten hos en fondförvaltare för att säkerställa stabiliteten och förtroendet för premiepensionen i samband med upphandling och granskning av fondförvaltare och fonder vid fond- torget inom ramen för avtalsuppföljning. Ändamålet med behandlingen av företrädare rör med andra ord bedömningar som är hänförliga till fondförvaltare, det vill säga juridiska personer. Personuppgifts- behandlingen kommer också att omfatta ett begränsat antal registrerade och personuppgifterna kommer inte heller i någon omfattande skala lämnas ut till andra myndigheter, även om sådana utbyten kan komma att ske inom ramen för samverkan. Regeringen anser därför i likhet med utredningen att Fondtorgs- nämndens personuppgiftsbehandling inte innebär ett så betydande intrång i den personliga integriteten, även om det i vissa fall kan förekomma uppgifter av integritetskänslig karaktär, att grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen blir tillämpligt. Enligt regeringen är det inte nödvändigt att med en särskild lagreglering av behandling av personuppgifter. Rättslig grund för behandling är fastställd i nationell rätt En myndighet måste enligt EU:s dataskyddsförordning kunna stödja sin behandling av personuppgifter på någon av de grunder som anges i artikel 6.1a–e. I de situationer behandling sker med stöd av artikel 6.1 c (be- handlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige) eller artikel 6.1 e (behandlingen är nödvändig för att utföra uppgift av allmänt intresse eller som ett led i myndighetsutövning) krävs att grunden för behandlingen är fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3). Syftet med behand- lingen ska fastställas i den rättsliga grunden då den grundar sig på artikel 2021/22:179 6.1 c. För att behandling av personuppgifter ska vara tillåten enligt artikel 6.1 e krävs i stället att ändamålet med behandlingen är nödvändigt för att Av förarbetena till dataskyddslagen framgår att det inte krävs att själva behandlingen av personuppgifter regleras i författning utan det räcker att den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen har stöd i rättsordningen (prop. 2017/18:105 s. I dataskyddslagen som kompletterar EU:s dataskyddsförordning fram- går bland annat att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av bland annat lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 §). personuppgifter behandlas med stöd av artikel 6.1 e i EU:s dataskydds- förordning om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som bland annat följer av lag eller annan författning eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 §). Vad gäller begreppet uppgift av allmänt intresse anser regeringen att myndigheters verksamhet anses vara av allmänt intresse eftersom myndig- heterna har ålagts att utföra dem (prop. 2017/18:105 s. 56 f.). I skäl 41 i dataskyddsförordningen anges att den rättsliga grunden bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och verk- samhetens karaktär (prop. 2017/18:105 s. 51). Regeringen föreslår i avsnitt 7 att det i lag ska regleras att ska upphandla fonder till fondtorget och i samband med det och löpande kontrollera att villkoren i fond- avtalen är uppfyllda och vid behov föra statens talan. lagen anges närmare villkor för de fonder som ska upphandlas, såsom till exempel att fonderna ska vara lämpliga, kostnadseffektiva, hållbara och Regeringen anser i likhet med utredningen att det finns behov för att samverka med i frågor som rör premiepensionssystemet, med i frågor som rör fondförvaltare och fonder, med och i frågor som rör konsumentskyddet samt med för att motverka viss organiserad brottslighet, se avsnitt 9.4. dessa samverkansområden föreslår regeringen att uppgiftsskyldigheten mellan och ska regleras i lag (se Regleringen ska innebära att sekretessen bryts (se 10 kap. 28 Regeringen avser även se över behovet av reglering avseende Fond- torgsnämndens samverkan med övriga myndigheter (se avsnitt 9.4). avsnitt 10.5 föreslår regeringen även sekretess för bland annat uppgifter om personliga förhållanden avseende tredje man hos . Regeringen bedömer sammantaget att det får anses vara nödvändigt att behandla personuppgifter för att ska kunna utföra sina uppgifter får anses vara av allmänt intresse och kommer enligt förslagen att fastställas genom bestämmelser om krav på de fonder som upphandlas, bestämmelser om granskning av fonder och fondförvaltare, bestämmelser för själva upphandlingsförfarandet (se avsnitt 7), samt bestämmelser om samverkan. Mot bakgrund av de ovan nämnda föreslagna bestämmelserna bedömer regeringen även att den rättsliga grunden bör anses vara tillräckligt tydlig och precis och förutsägbar för de personer som omfattas av den behandling av person- uppgifter som är nödvändig för att ska kunna utföra sina uppgifter (se artikel 6.1 e och 6.3 i EU:s dataskyddsförordning). Det finns således rättslig grund för behandling av personuppgifter vid . invänder mot betänkandets förslag om samverkan mellan och anför att det är alltför oprecist för att kunna vara en fastställd uppgift av allmänt intresse. Som framgår i avsnitt 9.4 föreslår regeringen ingen reglering av samverkans- skyldighet i detta lagstiftningsärende men avser att se över frågan. Regeringen konstaterar dock att informationsutbytet mellan och främst kommer att ta sikte på förhållanden hänförliga till juridiska personer, men att det inte går att utesluta att det kan finnas ett behov av att utbyta uppgifter som rör att en företrädare hos en fondförvaltare agerat på ett sådant sätt att fond- förvaltarens lämplighet kan sättas i fråga. Inom ramen för det arbetet kommer regeringen beakta att bestämmelser om uppgiftsskyldighet måste uppfylla kravet på konkretion (se prop. 1979/80:2 Del A s. 322). Det finns stöd för nödvändig behandling av personnummer, känsliga personuppgifter och uppgifter om lagöverträdelser För behandling av personuppgifter som är särskilt reglerade i EU:s data- skyddsförordning krävs ytterligare stöd. Vad gäller behandling av sådana personuppgifter anser regeringen följande. Inom ramen för uppdrag finns ett behov av att i vissa fall behandla personnummer. Personnummer och samordnings- nummer utgör förvisso inte känsliga personuppgifter i dataskydds- förordningens mening, men har ändå getts en särställning genom att medlemsstaterna getts möjlighet att införa särskilda villkor för behandling av sådana uppgifter (artikel 87). Av 3 kap. 10 § dataskyddslagen framgår att personnummer och samordningsnummer endast får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktans- värt skäl. Enligt regeringens bedömning kan det med hänsyn till vikten av en säker identifiering vara klart motiverat att behandla personnummer utan samtycke inom ramen för uppdrag när en sådan behandling krävs. Känsliga personuppgifter torde endast i undantagsfall vara nödvändiga för att behandla. Stöd för behandlingen i sådana situationer finns i artikel 9.2 i dataskyddsförordningen.