Prop. 2024/25:88
Ett nytt rättsmedel i dataskyddslagen och brottsdatalagen
Regeringen överlämnar denna proposition till riksdagen.
Stockholm den 16 januari 2025
Ulf Kristersson
Gunnar Strömmer (Justitiedepartementet)
Propositionens huvudsakliga innehåll
Regeringen föreslår att ett nytt rättsmedel mot utebliven eller långsam handläggning hos tillsynsmyndigheten (Integritetsskyddsmyndigheten) införs genom ändringar i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen. En person som har lämnat in ett klagomål till tillsynsmyndigheten ska efter att tre månader har gått från det att klagomålet lämnades in till tillsynsmyndigheten ha rätt att begära att få besked om huruvida tillsynsmyndigheten avser att inleda tillsyn eller inte. Tillsynsmyndigheten har enligt förslaget då två veckor på sig att antingen lämna ett sådant besked eller avslå begäran i ett motiverat beslut. Om tillsynsmyndigheten inte lämnar besked eller fattar beslut inom den tidsfristen
ska begäran anses ha avslagits. Tillsynsmyndighetens
beslut föreslås kunna överklagas till förvaltningsrätten. Detta gäller även i fråga om ett avslagsbeslut som ska anses ha fattats om det inte har lämnats något besked inom den angivna tidsfristen. Förvaltningsrätten ska, om den anser att tillsynsmyndigheten borde ha möjlighet att lämna ett besked i frågan om tillsyn ska inledas eller inte, förelägga myndigheten att göra det snarast.
Lagändringarna föreslås träda i kraft den 1 maj 2025.
1. Förslag till riksdagsbeslut
Regeringens förslag: 1 Riksdagen antar regeringens förslag till lag om ändring i lagen
(2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 2 Riksdagen antar regeringens förslag till lag om ändring i
2. Lagtext
2.1. Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
Härigenom föreskrivs att det i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska införas tre nya paragrafer, 6 kap. 8 § och 7 kap. 3 a och 6 §§, och närmast före 6 kap. 8 § och 7 kap. 6 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
6 kap.
Besked om handläggningen av ett klagomål
8 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Tillsynsmyndigheten ska lämna ett besked eller meddela ett beslut inom två veckor från den dag då begäran kom in till myndigheten. Om så inte har skett ska begäran anses ha avslagits.
Om tillsynsmyndigheten har avslagit en begäran får den registrerade lämna in en ny begäran tidigast tre månader därefter.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 6 kap. 8 § första stycket får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som
anses ha avslagits enligt 6 kap. 8 § andra stycket.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Föreläggande när handläggningen av ett klagomål har försenats
6 §
Om domstolen bifaller ett överklagande som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 maj 2025.
2.2. Förslag till lag om ändring i brottsdatalagen (2018:1177)
Härigenom föreskrivs i fråga om brottsdatalagen (2018:1177)
dels att 7 kap. 4 § ska ha följande lydelse,
dels att det ska införas tre nya paragrafer, 5 kap. 13 § och 7 kap. 3 a och 5 §§, och närmast före 5 kap. 13 § och 7 kap. 5 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
5 kap.
Besked om handläggningen av ett klagomål
13 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Tillsynsmyndigheten ska lämna ett besked eller meddela ett beslut inom två veckor från den dag då begäran kom in till myndigheten. Om så inte har skett ska begäran anses ha avslagits.
Om tillsynsmyndigheten har avslagit en begäran får den registrerade lämna in en ny begäran tidigast tre månader därefter.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 5 kap. 13 § första stycket får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som anses ha avslagits enligt 5 kap. 13 § andra stycket.
Prövningstillstånd krävs vid överklagande till kammarrätten.
4 §
Andra beslut enligt denna lag än de som avses i 2 och 3 §§ får inte överklagas.
Andra beslut enligt denna lag än de som avses i 2–3 a §§ får inte överklagas.
Föreläggande när handläggningen av ett klagomål har försenats
5 §
Om domstolen bifaller ett överklagande som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 maj 2025.
3. Ärendet och dess beredning
I april 2016 antogs Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i det följande benämnd EU:s dataskyddsförordning. Samma dag antogs Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, i det följande benämnt dataskyddsdirektivet.
Med anledning av rättsakterna beslutade regeringen att ge två särskilda utredare i uppdrag att ta fram kompletterande nationell lagstiftning. Utredningen gällande EU:s dataskyddsförordning tog namnet Dataskyddsutredningen (Ju 2016:04) och överlämnade betänkandet Ny dataskyddslag (SOU 2017:39). Utredningen gällande dataskyddsdirektivet tog namnet Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06) och överlämnade bl.a. delbetänkandet Brottsdatalag (SOU 2017:29). I betänkandena föreslogs bl.a. bestämmelser om ett rättsmedel vid utebliven eller långsam handläggning hos tillsynsmyndigheten. Dessa bestämmelser kom aldrig att genomföras i samband med det efterföljande lagstiftningsarbetet.
Europeiska kommissionen inledde våren 2022 ett överträdelseärende mot Sverige. Kommissionen för bl.a. fram att Sverige saknar ett effektivt rättsmedel inför domstol i enlighet med artikel 78.2 i dataskyddsförordningen och artikel 53.2 i dataskyddsdirektivet.
Inom Regeringskansliet (Justitiedepartementet) utarbetades promemorian En dröjsmålstalan i dataskyddslagen och brottsdatalagen (Ju2024/00708). En sammanfattning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i lagstiftningsärendet (Ju2024/00708) och är publicerade på regeringens webbplats.
Lagrådet
Regeringen beslutade den 7 november 2024 att inhämta Lagrådets yttrande över lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådets förslag och synpunkter behandlas i avsn itt 7.2.1. Regeringen följer delvis Lagrådets förslag. I förhållande till lagrådsremissen görs dessutom vissa mindre språkliga och redaktionella ändringar.
4. Dataskyddsregleringen
4.1. EU:s dataskyddsförordning och dataskyddslagen
EU:s dataskyddsförordning är direkt tillämplig i alla medlemsstater och innehåller regler om personuppgiftsbehandling som ska tillämpas generellt inom området för EU:s inre marknad. Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. EU:s dataskyddsförordning gäller inte för sådan personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde (artikel 2.2 d), se avsn itt 4.2.
Även om EU:s dataskyddsförordning är direkt tillämplig både medger och förutsätter den att nationella bestämmelser antas som kompletterar delar av förordningen genom specificeringar eller undantag. Sådana bestämmelser finns i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, i det följande benämnd dataskyddslagen. Inom ramen för det utrymme som EU:s dataskyddsförordning ger medlemsstaterna att anta nationell lagstiftning reglerar dataskyddslagen bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning (1 kap. 6 §). Lagen trädde i kraft den 25 maj 2018.
4.2. Dataskyddsdirektivet och brottsdatalagen
Dataskyddsdirektivet innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 1.1). Enligt direktivet ska medlemsstaterna dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels säkerställa att behöriga myndigheters utbyte av personuppgifter inom unionen, när sådant utbyte krävs enligt unionsrätten eller medlemsstaternas nationella rätt, varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.
Dataskyddsdirektivet har genomförts i svensk rätt i huvudsak genom införandet av en ny ramlag, brottsdatalagen (2018:1177), som trädde i kraft den 1 augusti 2018. Direktivet gäller på EU:s område för frihet, säkerhet och rättvisa enligt artikel 3.2 i fördraget om Europeiska unionen. Brottsdatalagen gäller för behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också för behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och
säkerhet (1 kap. 2 §). Det innebär att lagen är tillämplig i merparten av den verksamhet som Polismyndigheten bedriver. Den tillämpas även i brottsbekämpande verksamhet hos Tullverket, Kustbevakningen och Skatteverket, hos allmänna domstolar i brottmål och i åklagarverksamhet hos Åklagarmyndigheten, Ekobrottsmyndigheten, Justitiekanslern och Riksdagens ombudsmän. Lagen kan även vara tillämplig i viss verksamhet hos Säkerhetspolisen. Den absoluta merparten av Säkerhetspolisens verksamhet rör dock nationell säkerhet och myndighetens personuppgiftsbehandling inom det området faller utanför brottsdatalagens tillämpningsområde (1 kap. 4 §). Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Brottsdatalagen är, liksom dataskyddslagen, subsidiär i förhållande till annan lag eller förordning (1 kap. 5 §).
5. Utebliven eller långsam handläggning hos tillsynsmyndigheten
5.1. Regler om handläggningen av klagomålsärenden hos tillsynsmyndigheten
I artikel 51.1 i EU:s dataskyddsförordning och i artikel 41.1 i dataskyddsdirektivet anges att varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av förordningen respektive direktivet. I Sverige har Integritetsskyddsmyndigheten (IMY) utsetts att vara sådan tillsynsmyndighet (3 § förordningen [2018:219] med kompletterande bestämmelser till EU:s dataskyddsförordning och 2 a § andra stycket förordningen [2007:975] med instruktion för Integritetsskyddsmyndigheten). Artikel 55 i dataskyddsförordningen reglerar tillsynsmyndighetens territoriella behörighet, medan artikel 56 behandlar behörigheten vid gränsöverskridande personuppgiftsbehandling. I dataskyddsdirektivet regleras den territoriella behörigheten i artikel 45. Dataskyddsdirektivet saknar en motsvarighet till artikel 56 i EU:s dataskyddsförordning.
Enligt artikel 77.1 i EU:s dataskyddsförordning ska varje registrerad – dvs. en identifierad eller identifierbar fysisk person – som anser att behandlingen av personuppgifter som avser honom eller henne strider mot förordningen ha rätt att lämna in klagomål till en tillsynsmyndighet. I andra stycket i samma artikel föreskrivs vidare att den tillsynsmyndighet till vilken klagomålet har getts in ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78. Artikel 77.1 har ansetts vara direkt tillämplig i svensk rätt och några nationella kompletterande regler om rätten för den registrerade att framföra klagomål till tillsynsmyndigheten har därför inte tagits in i dataskyddslagen (prop. 2017/18:105 s. 152).
I dataskyddsdirektivet återfinns motsvarande bestämmelser i artikel 52.1 och 52.4. Vid genomförandet av direktivet uttalade regeringen att bestämmelserna om hur klagomål ska hanteras av tillsynsmyndigheten motsvarade vad som redan tillämpades enligt allmänna principer för tillsyn och reglerna i förvaltningslagen (2017:900) (prop. 2017/18:232 s. 280). För att genomföra bl.a. artikel 46.1 f och artikel 52.4 bedömdes det därför vara tillräckligt att i brottsdatalagen ange att handläggning av klagomål är en av tillsynsmyndighetens uppgifter (se 5 kap. 2 § första stycket 2 och prop. 2017/18:232 s. 280) Denna lösning, som innebär att rätten att ge in klagomål endast regleras indirekt, bedömdes tillräcklig även för att genomföra artikel 52.1 (prop. 2017/18:232 s. 349).
Tillsynsmyndighetens skyldighet att behandla klagomål enligt EU:s dataskyddsförordning regleras i artikel 57.1 f i förordningen. Det framgår bl.a. att tillsynsmyndigheten ansvarar för att, där så är lämpligt, undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet. Motsvarande bestämmelse för dataskyddsdirektivets del finns i artikel 46.1 f EU-domstolen har i ett förhandsavgörande avseende förordningen uttalat att tillsynsmyndigheten ska utreda klagomålen med vederbörlig omsorg (dom den 16 juli 2020 i mål C-311/18, EU:C:2020:559, Schrems II, punkt 109).
I artikel 78.2 i EU:s dataskyddsförordning föreskrivs att, utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, varje registrerad person ska ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig enligt artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som har getts in med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det. Vidare anges i skäl 141 till förordningen bl.a. att registrerade bör ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga) om den registrerade anser att hans eller hennes rättigheter enligt förordningen har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. Motsvarande bestämmelse och skäl finns i artikel 53.2 och skäl 85 i dataskyddsdirektivet.
5.2. Tidigare lagstiftningsarbete
Dataskyddsutredningen konstaterade att tillsynsmyndigheten ansvarar för att behandla klagomål och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider. Vidare ansåg utredningen att om tillsynsmyndigheten inte uppfyllt dessa skyldigheter inom tre månader ska den registrerade ha rätt till ett effektivt rättsmedel (SOU 2017:39 s. 306).
Utredningen föreslog att om tillsynsmyndigheten inte behandlar ett klagomål inom tre månader, borde myndigheten vara skyldig att på skriftlig begäran av den registrerade lämna besked i frågan om tillsyns-
myndigheten tänker utöva tillsyn eller inte med anledning av klagomålet. Om tillsynsmyndigheten inte kunde lämna ett sådant besked inom två veckor, t.ex. på grund av att ärendet kräver ytterligare utredning, borde tillsynsmyndigheten vara skyldig att i ett särskilt beslut avslå den registrerades begäran om besked. Därigenom skulle den enskilde få ett överklagbart beslut och kunna få till stånd en domstolsprövning av om handläggningstiden var rimlig. Om domstolen sedan biföll överklagandet skulle domstolen förelägga tillsynsmyndigheten att inom en viss angiven tid lämna besked till den registrerade i frågan om huruvida tillsyn med anledning av klagomålet kommer att utövas (SOU 2017:39 s. 305–309 och 325–329).
Utredningen om 2016 års dataskyddsdirektiv gjorde i dessa delar liknande överväganden vid genomförandet av direktivet som Dataskyddsutredningen gjort i förhållande till EU:s dataskyddsförordning och lade också fram ett i princip identiskt förslag (SOU 2017:29 s. 545–557).
I det efterföljande lagstiftningsarbetet om en ny dataskyddslag fick förslaget om ett nytt rättsmedel omfattande remisskritik och regeringen valde mot den bakgrunden att inte gå vidare med det (se propositionen Ny dataskyddslag, prop. 2017/18:105 s. 152–154). Sammanfattningsvis ansåg regeringen att det i svensk rätt redan fanns effektiva rättsmedel som är tillgängliga för den registrerade om tillsynsmyndigheten inte skulle uppfylla sin informationsskyldighet enligt EU:s dataskyddsförordning (prop. 2017/18:105 s. 153–154).
Regeringen gjorde motsvarande överväganden i samband med att dataskyddsdirektivet skulle genomföras i svensk rätt (se propositionen Brottsdatalag, prop. 2017/18:232 s. 350–351). Några särskilda bestämmelser om ett rättsmedel vid utebliven eller långsam handläggning kom därför heller inte att tas in i brottsdatalagen.
5.3. Överträdelseärendet
Europeiska kommissionen inledde våren 2022 ett överträdelseärende mot Sverige gällande genomförandet av EU:s dataskyddsförordning och dataskyddsdirektivet med avseende på behovet av att säkerställa effektiva rättsmedel för den registrerade vid dröjsmål eller passivitet hos tillsynsmyndigheten vid dess behandling av klagomål. I den formella underrättelsen ger kommissionen sammanfattningsvis uttryck för uppfattningen att det saknas bestämmelser i svensk rätt som tillhandahåller effektiva rättsmedel inför domstol i enlighet med artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 dataskyddsdirektivet (formell underrättelse – överträdelse nummer [2022]2022, C[2022]1665 final, den 6 april 2022). Kommissionen anför bl.a. att Riksdagens ombudsmän och Justitiekanslern inte kan anses vara domstolar i den mening som avses i artikel 47 i EU:s rättighetsstadga och att de därför inte kan anses utgöra rättsmedel enligt artikel 78.2 i förordningen och artikel 53.2 i direktivet. Inte heller har kommissionen kunnat identifiera någon bestämmelse i svensk rätt som tillhandahåller ett effektivt rättsmedel specifikt i det fall att tillsynsmyndigheten underlåter att behandla ett klagomål eller inte informerar den registrerade inom tre månader om framsteg i fråga om eller beslut om det
klagomål som ingetts. Kommissionen lyfter fram artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet, jämförda med artikel 47 i EU:s rättighetsstadga, som grund för att en prövning av eventuellt dröjsmål måste kunna ske i ett organ som är en domstol enligt den nationella rättsordningen. Kommissionen anser att inte vare sig dröjsmålstalan enligt 12 § förvaltningslagen eller möjligheten att begära skadestånd enligt skadeståndslagen är effektiva rättsmedel enligt nämnda artiklar. När det gäller dröjsmålstalan enligt förvaltningslagen menar kommissionen att en sådan talan inte tillhandahåller ett rättsmedel om tillsynsmyndigheten förblir helt passiv eller om beslutet om begäran försenas. Kommissionen anser dessutom att det i alla händelser inte varit möjligt att identifiera någon bestämmelse i svensk rätt som tillhandahåller ett effektivt rättsmedel specifikt i det fall att tillsynsmyndigheten underlåter att behandla ett klagomål eller inte informerar den registrerade inom tre månader om framsteg i fråga om eller beslut om det klagomål som ingetts.
Sverige har i sitt svar till kommissionen sammanfattningsvis framhållit att det i ljuset av de synpunkter som kommissionen har fört fram finns anledning att se över den svenska lagstiftningen och överväga att införa en reglering som tydligt ger registrerade ett effektivt rättsmedel inför domstol vid dröjsmål eller passivitet hos tillsynsmyndigheten.
6. Förvaltningsrättsliga utgångspunkter
6.1. Principen om god förvaltning i unionsrätten
I artikel 41 i EU:s rättighetsstadga finns bestämmelser om rätten till god förvaltning. Av artikeln framgår att var och en har rätt att få sina angelägenheter behandlade opartiskt, rättvist och inom skälig tid av unionens institutioner, organ och byråer. Sett till ordalydelsen riktar den sig alltså till EU:s institutioner, organ och byråer. EU-domstolen har dock slagit fast att bestämmelserna i artikeln ger uttryck för en allmän unionsrättslig princip (dom den 8 maj 2019 i mål C-230/18, EU:C:2019:383, PI mot Landespolizeidirektion Tirol, punkt 57). Vad som är skälig tid ska, enligt EU-domstolens fasta praxis, bedömas med hänsyn till de särskilda omständigheterna i varje enskilt mål och i synnerhet med hänsyn till tvistens betydelse för den berörde, målets komplexitet samt sökandens och de behöriga myndigheternas uppträdande (dom den 17 december 1998 i mål C-185/95 P, EU:C:1998:608, Baustahlgewebe mot Europeiska kommissionen, punkt 29). Några absoluta tidsgränser finns således inte grundade i den allmänna principen om god förvaltning.
Principen om god förvaltning måste beaktas av medlemsstaterna när de tillämpar unionsrätten. Utgångspunkten är dock att det råder processuell autonomi för medlemsstaterna även på unionsrättens område. Detta innebär att medlemsstaterna själva, utifrån sina rättstraditioner och förvaltningsprocessuella regelsystem, får bestämma hur rättigheter som följer av EU-rätten ska komma enskilda till del. Den nationella regleringen får dock inte göra det omöjligt eller orimligt svårt att utöva unionsrättsligt grundade
rättigheter. Inte heller får sådana rättigheter behandlas mindre förmånligt än rättigheter som följer av nationella bestämmelser (dom den 14 december 1995 i de förenade målen C-430/93 och C-431/93, EU:C:1995:441, van Schijndel, punkt 17).
6.2. Förvaltningslagens krav på handläggningen
Det svenska förvaltningsförfarandet präglas av ett tydligt medborgarperspektiv där förfarandet ska vara effektivt och rättssäkert samtidigt som myndigheterna också har ett uppdrag att ge god service till allmänheten. Myndigheternas allmänna serviceskyldighet kommer till uttryck i 6 § förvaltningslagen där det anges att de ska se till att kontakterna med enskilda blir smidiga och enkla. Bestämmelsen artikulerar, tillsammans med kraven i 5 § samma lag på legalitet, objektivitet och proportionalitet i myndigheternas verksamhet och kraven på tillgänglighet och myndighetssamverkan i lagens 7 och 8 §§, grunderna för god förvaltningsstandard. Av 9 § förvaltningslagen framgår att ett ärende ska handläggas så enkelt, snabbt och kostnadseffektivt som möjligt utan att rättssäkerheten eftersätts. I det ligger bl.a. att ärendet inte ska belastas med onödig skriftväxling och att ett ärende bör tas upp till avgörande så snart som möjligt efter att utredningen i ärendet avslutats. Det svenska förvaltningsförfarandet ställer således upp krav både på service till enskilda och på skyndsamhet i ärendehandläggningen.
7. Åtgärder mot utebliven eller långsam handläggning enligt dataskyddsregleringen
7.1. Det behöver införas ett nytt rättsmedel i dataskyddslagen och brottsdatalagen
Regeringens bedömning: EU:s dataskyddsförordning och dataskyddsdirektivet ställer krav på att det ska finnas ett effektivt rättsmedel inför domstol vid utebliven eller långsam handläggning av klagomål hos tillsynsmyndigheten. Dagens reglering behöver kompletteras med ett sådant rättsmedel för att uppfylla unionsrättsliga krav och ytterligare stärka den registrerades ställning.
Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot bedömningen.
Skälen för regeringens bedömning
Vikten av att klagomål behandlas
Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet enligt artikel 8 i EU:s rättighetsstadga och utgör
ett huvudsyfte för både EU:s dataskyddsförordning och dataskyddsdirektivet (se artikel 1 i de båda rättsakterna). Tillsynsmyndighetens uppgift att vaka över tillämpningen av förordningen och direktivet utgör ett väsentligt inslag i detta skydd. Myndighetens befogenheter att både utreda och beivra otillåten personuppgiftsbehandling bidrar till att förverkliga de registrerades rättigheter enligt såväl förordningen som direktivet. Det är därför av stor vikt att de registrerade kan ge in klagomål till en tillsynsmyndighet och att myndigheten därefter behandlar klagomålen.
Som redogörs för i avsnitt 5.1 finns det i artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet bestämmelser om rätt till ett effektivt rättsmedel vid utebliven eller långsam handläggning hos tillsynsmyndigheten. Avgörande för bedömningen av om det behöver införas ett nytt rättsmedel i svensk rätt är dels i vilka situationer som rättsmedlet ska kunna göras gällande, dels vilka krav som artiklarna ställer på rättsmedlet.
När uppstår rätten till ett rättsmedel enligt dataskyddsregleringen?
Artikel 78.2 i EU:s dataskyddsförordning anger att en registrerad som har lämnat in ett klagomål till en tillsynsmyndighet ska ha rätt till ett effektivt rättsmedel om myndigheten underlåter att behandla klagomålet eller att informera den registrerade inom tre månader om hur arbetet med klagomålet fortskrider eller om dess resultat, dvs. vilket beslut som fattats med anledning av klagomålet. I den svenska språkversionen av artikel 53.2 i dataskyddsdirektivet anges i stället att den registrerade ska ha rätt till ett effektivt rättsmedel om tillsynsmyndigheten inte inom tre månader behandlar ett klagomål eller om tillsynsmyndigheten inte informerar den registrerade om handläggningen eller resultatet av det klagomålet. Den språkliga utformningen av bestämmelserna i den svenska språkversionen av rättsakterna skiljer sig med andra ord åt när det gäller vilka åtgärder som ska vidtas inom tidsfristen. Direktivets bestämmelse ger intryck av att fristen omfattar inte enbart kravet på information utan även skyldigheten att behandla klagomålet. Vid en jämförelse med de engelska, tyska och franska språkversionerna av direktivet kan det noteras att dessa överensstämmer med den svenska versionen av förordningen, där tremånadersfristen endast är kopplad till kravet på information. Regeringen instämmer därför i bedömningen i promemorian att det är det som avses även i direktivet och att rätten till effektivt rättsmedel alltså inte skiljer sig åt mellan rättsakterna (jfr SOU 2017:29 s. 551).
Tremånadersfristen är således kopplad till kravet på information om handläggningen eller resultatet av handläggningen. Någon preciserad tidsfrist inom vilken tillsynsmyndigheten måste avgöra ärendet i sak är inte reglerad i rättsakterna. Denna ordning är också rimlig eftersom arten och komplexiteten av klagomålen kan skilja sig åt i betydande omfattning.
Ordalydelsen i artiklarna talar för att det är tillräckligt att tillsynsmyndigheten antingen behandlar klagomålet eller inom viss tid lämnar information till den registrerade för att någon rätt till rättsmedel vid utebliven eller långsam handläggning inte ska finnas. Annorlunda uttryckt ger ordalydelsen intryck av att tillsynsmyndigheten endast behöver vidta endera av dessa två åtgärder för att undvika att lastas för passivitet som
ska kunna medföra att myndighetens handläggning ska kunna domstolsprövas efter en begäran av den registrerade. I likhet med bedömningen som görs i promemorian anser dock regeringen att det inte förefaller rimligt att tolka bestämmelserna så snävt att det skulle räcka att tillsynsmyndigheten inom tre månader ger den registrerade allmän information om handläggningen (jfr SOU 2017:29 s. 551–552). Som framhålls i promemorian skulle en sådan snäv tolkning innebära att den registrerade redan genom ett allmänt hållet meddelande från tillsynsmyndigheten gick miste om möjligheterna att få myndighetens åtgärder och framåtdrift i handläggningen granskad av en överinstans. Regeringen ställer sig därför bakom bedömningen i promemorian att bestämmelserna i de båda artiklarna snarare bör ges en innebörd som medför att de registrerade på ett verkningsfullt sätt kan angripa myndighetens underlåtenhet att med tillräcklig skyndsamhet behandla klagomålet och därigenom få myndigheten att driva handläggningen framåt.
Vilka krav ställs på rättsmedlet?
Artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet anger alltså att den registrerade ska ha rätt till ett effektivt rättsmedel. I skäl 141 i förordningen och skäl 85 i direktivet anges som motiv till regleringen att de registrerade bör ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i EU:s rättighetsstadga. Enligt bestämmelserna i den artikeln har var och en, vars unionsrättsligt garanterade fri- och rättigheter har kränkts, rätt till ett effektivt rättsmedel inför en domstol. I likhet med vad som anförs i promemorian anser därför regeringen att det mesta talar för att – som kommissionen för fram i sin formella underrättelse – uttrycket ”effektivt rättsmedel” i artikel 78.2 i förordningen och artikel 53.2 i direktivet bör ges i stort sett samma innebörd som i artikel 47 i EU:s rättighetsstadga. Detta innebär att de registrerade i de situationer som träffas av de aktuella bestämmelserna i förordningen och direktivet har rätt till ett effektivt rättsmedel som innefattar domstolsprövning. Av artiklarna framgår dessutom också att rätten till rättsmedel är ovillkorlig. Något utrymme lämnas inte åt den instans där tillsynsmyndighetens handläggning ska granskas att själv avgöra om ett granskningsärende ska inledas eller inte. Regeringen delar därför uppfattningen som redovisas i promemorian att det i vart fall inte är tillräckligt att frågan om myndighetens handläggning har uppfyllt rimliga krav på skyndsamhet enbart kan granskas i efterhand inom ramen för en extraordinär tillsyn av Riksdagens ombudsmän (JO) eller Justitiekanslern (JK).
Vid tolkningen av artikel 47 i EU:s rättighetsstadga måste hänsyn tas till Europadomstolens tolkning av artiklarna 6 och 13 i Europakonventionen. Europadomstolen har i sin praxis rörande artikel 13 slagit fast att det är de sammanlagda rättsmedlen som nationell rätt tillhandahåller som ska bedömas vid tillämpningen av den artikeln (Europadomstolens domar i målen Leander mot Sverige, nr 9248/81, dom den 26 mars 1987, § 77 c och Kudla mot Polen, nr 30210/96, dom den 26 oktober 2000, § 157). Det innebär bl.a. att administrativa rättsmedel kan vara tillräckliga enligt konventionen, om den nationella regleringen ger utrymme för reella möjligheter till prövning av den fråga som tas upp i ett klagomål, att den enskilde har praktiska möjligheter att utnyttja rättsmedlet och att det finns
möjlighet till gottgörelse vid en eventuell konventionskränkning. JK:s frivilliga skadereglering enligt förordningen om handläggning av skadeståndsanspråk mot staten har av Europadomstolen ansetts vara ett rättsmedel som är effektivt i den mening som avses i Europakonventionen. Möjligheten att vända sig med en skadeståndstalan mot staten vid en påstådd konventionskränkning är också ett effektivt rättsmedel enligt konventionen. Som konstateras i promemorian bör denna möjlighet vara tillräcklig för många situationer även enligt artikel 47 i EU:s rättighetsstadga.
I artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet regleras dock specifikt en rätt till rättsmedel vid utebliven eller långsam klagomålsbehandling hos tillsynsmyndigheten. Det handlar dessutom om uttryckliga krav på ett effektivt rättsmedel, som innefattar en rätt till domstolsprövning, även vid förhållandevis korta handläggningstider (långt mycket kortare än ett år). Regeringen bedömer därför, i likhet med vad som görs i promemorian, att en skadeståndstalan mot staten inte framstår som ett realistiskt alternativ vare sig vid underlåtenhet att behandla klagomålet eller vid utebliven eller bristande information om handläggningen inom angivna frister.
Genom den reglering som infördes i samband med 2017 års förvaltningsrättsreform togs det i förvaltningslagen in en bestämmelse som ger enskilda en allmän möjlighet att agera för att motverka passivitet och förseningar i handläggningen av ärenden hos myndigheterna. Enligt
12 § förvaltningslagen får en enskild part som inlett ett ärende hos en myndighet skriftligen begära att myndigheten ska avgöra ärendet, om ärendet inte avgjorts i första instans senast inom sex månader. Myndigheten ska då inom fyra veckor från det att begäran kom in antingen avgöra ärendet eller i ett särskilt beslut avslå begäran. En sådan prövning av myndigheten får begäras av parten vid enbart ett tillfälle under ärendets handläggning. Ett beslut att avslå en begäran om avgörande får överklagas till den domstol eller förvaltningsmyndighet som är behörig att pröva ett överklagande av avgörandet i ärendet. Om ett överklagande av ett avslagsbeslut bifalls ska beslutsmyndigheten enligt 49 § förvaltningslagen föreläggas att snarast eller inom tid som överinstansen bestämmer avgöra ärendet.
Regleringen i 12 § förvaltningslagen är inriktad på att få till stånd ett slutligt avgörande i sak i ett ärende som inleds av någon enskild. Rätten att begära att myndigheten ska avgöra ärendet inträder först efter sex månader. Förvaltningslagens reglering förutsätter att myndigheten avslår begäran för att vägen till domstolsprövning ska öppnas. För det, visserligen mycket osannolika, fall att myndigheten skulle underlåta att fatta ett sådant beslut kan den enskilde alltså inte föra sitt ärende vidare till domstol (se vidare avsnitt 7.2.1). Med hänsyn till detta, och med beaktande av att rätten till ett rättsmedel inför domstol enligt förordningen och direktivet uppstår redan efter tre månader om information om handläggningen eller resultatet av handläggningen inte har lämnats, kan regeringen konstatera att regleringen i förvaltningslagen inte tillgodoser den registrerades rätt till effektivt rättsmedel enligt artikel 78.2 i förordningen och artikel 53.2 i direktivet.
Sammantaget ställer sig regeringen bakom bedömningen som görs i promemorian att de registrerades rättigheter bör stärkas ytterligare och att
ett nytt rättsmedel mot utebliven eller långsam handläggning av klagomål hos tillsynsmyndigheten bör införas för att Sverige därigenom fullt ut ska kunna uppfylla sina unionsrättsliga åtaganden i detta avseende.
7.2. Utformningen av ett nytt rättsmedel i dataskyddslagen och brottsdatalagen
7.2.1. Handläggningen hos tillsynsmyndigheten
Regeringens förslag: Om tillsynsmyndigheten inte inom tre månader behandlar ett klagomål, ska den registrerade kunna begära besked i frågan om tillsynsmyndigheten avser att inleda tillsyn. Myndigheten ska då inom två veckor antingen lämna ett sådant besked eller i ett särskilt beslut avslå begäran om besked.
Om tillsynsmyndigheten inte lämnar besked eller fattar beslut inom denna tidsfrist,
ska begäran anses ha avslagits.
Om tillsynsmyndigheten avslår begäran om besked i ett beslut ska den registrerade få begära nytt besked i ärendet först efter tre månader från det att beslutet om avslag på den tidigare begäran meddelades.
Promemorians förslag överensstämmer med regeringens. Remissinstanserna: En stor majoritet av remissinstanserna tillstyrker eller har inga synpunkter på förslaget, däribland Forum för dataskydd,
Förvaltningsrätten i Stockholm, Integritetsskyddsmyndigheten, Justitiekanslern och Säkerhets- och integritetsskyddsnämnden.
Sveriges advokatsamfund anser att den föreslagna lagstiftningstekniken kan vara svåröverblickbar för enskilda.
Skälen för regeringens förslag
Ett nytt rättsmedel mot utebliven eller långsam handläggning vid klagomål enligt dataskyddsregleringen bör tas in i dataskyddslagen och brottsdatalagen
En naturlig utgångspunkt vid framtagandet av ett förslag om ett nytt rättsmedel i det här sammanhanget är att det i möjligaste mån utformas så att det överensstämmer med den svenska förvaltningsrättsliga strukturen. Därigenom skapas en förutsägbar lösning som underlättar tillämpningen, såväl för de enskilda som vill utnyttja rättsmedlet som för rättstillämparen (jfr prop. 2020/21:96 s. 20). Samtidigt måste naturligtvis förslaget uppfylla de krav som EU:s dataskyddsförordning och dataskyddsdirektivet ställer på rätten till ett effektivt rättsmedel.
Rättsmedlet mot utebliven eller långsam handläggning av klagomålsärenden ska avse behandlingen av klagomål ingivna till tillsynsmyndigheten enligt artikel 77.1 i EU:s dataskyddsförordning och artikel 52.1 i dataskyddsdirektivet (se avsni tt 5.1) . I promemorian föreslås att bestämmelserna om rättsmedlet tas in i dataskyddslagen respektive brottsdatalagen. Sveriges advokatsamfund menar att den föreslagna lagstiftningstekniken, med särskilda bestämmelser om dröjsmålstalan i speciallag, kan vara svåröverblickbar för enskilda. Regeringen konstaterar att de nationella kompletterande bestämmelserna av generell karaktär till
EU:s dataskyddsförordning finns framför allt i dataskyddslagen. I den finns bl.a. bestämmelser om tillsynsmyndighetens handläggning och beslut (6 kap.). Dataskyddsdirektivet är som redan nämnts genomfört i brottsdatalagen. I likhet med vad som anförs i promemorian anser regeringen att det därför framstår som lämpligt att bestämmelser om ett rättsmedel mot utebliven eller långsam handläggning hos tillsynsmyndigheten förs in i dataskyddslagen respektive brottsdatalagen. Till skillnad från Sveriges advokatsamfund anser regeringen att den föreslagna placeringen bidrar till att enskilda kan ges god insikt om vilka särskilda regler som gäller vid handläggning av tillsynsärenden hos tillsynsmyndigheten.
Vad bör krävas av tillsynsmyndigheten?
Artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet innebär inte att tillsynsmyndigheten måste avgöra sakfrågan inom viss en tid. Som redogörs för i avsn itt 7.1 är det i stället information om handläggningen eller resultatet av handläggningen som ska lämnas inom tre månader från det att klagomålet lämnades in. Det räcker dock inte att tillsynsmyndigheten enbart lämnar allmän information om handläggningen. Artiklarna 78.2 och 53.2 syftar till att ge den registrerade ett medel för att driva handläggningen framåt i de fall myndigheten inte behandlar klagomålet med tillräcklig skyndsamhet. Det viktiga för den registrerade är rimligen att få besked om hans eller hennes klagomål kommer leda till tillsyn. Regeringen delar därför uppfattningen som redovisas i promemorian att det för att rättsmedlet ska få avsedd effekt bör krävas att tillsynsmyndigheten inom tremånadersfristen ger den enskilde besked om huruvida tillsyn kommer att inledas. Om det i ett enskilt fall inte är möjligt att lämna ett sådant besked, bör myndigheten i vart fall lämna klaganden så tydlig information som möjligt om den prognos som myndigheten gör i fråga om den tid som myndigheten uppskattar att det kommer att ta innan den kan ta ställning i tillsynsfrågan.
Möjligheten att skriftligen begära besked av tillsynsmyndigheten
En utgångspunkt vid utformningen av en ny reglering är att tillsynsmyndigheten strävar efter att i möjligaste mån hantera alla klagomål som kommer in skyndsamt i enlighet med de allmänna krav som följer av 9 § förvaltningslagen. Ett uppenbart ogrundat klagomål bör kunna besvaras av tillsynsmyndigheten inom relativt kort tid, i de allra flesta fall redan inom några veckor. I andra fall kan tillsynsmyndigheten ha anledning att utnyttja sina tillsynsbefogenheter, t.ex. att rikta en begäran till den personuppgiftsansvarige om att lämna relevant information eller att göra platsbesök. Besked om huruvida sådan tillsyn ska inledas eller inte bör i princip alltid kunna lämnas till den registrerade inom tre månader. I sådana fall är informationsplikten enligt artikel 78.2 i EU:s dataskyddsförordning respektive artikel 53.2 i dataskyddsdirektivet uppfylld. I de undantagsfall då ett sådant besked inte kan ges bör tillsynsmyndigheten, som framhålls ovan, i vart fall kunna lämna förhållandevis tydliga besked om hur ärendet fortskrider och om möjligt även information om när ett besked i tillsynsfrågan kan vara att vänta. Om beskedet trots det skulle dra ut på tiden, bör den registrerade i första hand rikta förfrågningar till tillsynsmyndigheten
för att den ska lämna upplysningar i enlighet med serviceskyldigheten. Det finns även en möjlighet för klaganden att på samma sätt försöka påskynda handläggningen och uppmärksamma myndigheten på de krav på skyndsamhet som gäller enligt unionsrätten.
Om den registrerade i sina kontakter med myndigheten misslyckas med att få besked om huruvida tillsyn kommer att inledas eller få information om hur handläggningen fortskrider, bör han eller hon kunna vända sig till domstol för prövning av om tillsynsmyndigheten fördröjer handläggningen.
Regeringen delar uppfattningen som kommer till uttryck i promemorian att en ordning som bygger på samma grundprinciper som den reglering som finns i 12 § förvaltningslagen framstår som mest ändamålsenlig vid utformningen av ett nytt särskilt rättsmedel som ska kunna användas vid utebliven eller långsam handläggning av klagomål enligt dataskyddsregleringen. Denna bedömning grundar sig framför allt på att en sådan ordning skapar bättre förutsättningar för att begränsa de administrativa bördorna för klaganden och dessutom påtagligt bidrar till att minska risken för onödiga domstolsprövningar.
En registrerad som har vänt sig till tillsynsmyndigheten med ett klagomål ska enligt förslaget i promemorian först skriftligen begära att tillsynsmyndigheten tar ställning till och ger besked om huruvida tillsyn ska inledas innan han eller hon ska ha möjlighet att vända sig till en domstol för att få en prövning av om handläggningen fördröjs. Det bör kunna göras när det gått tre månader från den dag då klagomålet kom in till myndigheten. Remissinstanserna riktar inte några invändningar mot bedömningen. Lagrådet har inte några invändningar i sak mot förslaget men anser att det är olyckligt att använda begreppet ”besked” i detta sammanhang och förordar i stället ”underrättelse”. Lagrådet för fram att det begreppet används i en snarlik situation i 11 § förvaltningslagen och menar att förslaget skulle bli något tydligare och tillämpningen underlättas om det begreppet används i stället.
Regeringen delar inte den uppfattningen. Tvärtom anser regeringen att termen underrättelse, som förekommer i bl.a. förvaltningslagen, typiskt sett används i situationer när en myndighet självmant ska agera genom att lämna information av skilda slag till en part eller någon annan som har rätt att få del av uppgifter från myndigheten, t.ex. vid underrättelse om beslut eller om en försening i handläggningen. Termen underrättelse används normalt inte som term för att beteckna ett överklagbart beslut i sig utan snarare själva expedieringen. Regeringen anser därför att systematiska skäl talar mot att använda termen underrättelse i bestämmelsen. Termen besked kan enligt regeringen användas som beteckning på upplysningar som myndigheten efter en begäran av den enskilde lämnar om sina ställningstaganden i en aktuell fråga. Regeringen föredrar därför det uttryckssätt som föreslås i lagrådsremissen. Mot den bakgrunden bör inte heller rubrikerna till paragraferna ändras i enlighet med Lagrådets förslag. Regeringen instämmer däremot i Lagrådets uppfattning att den redaktionella och språkliga utformningen av lagförslaget i övrigt kan förenklas för att göra bestämmelserna mer översiktliga och lättillgängliga.
Det bör understrykas att angivna tre månader inte är en rekommenderad handläggningstid. Fristen anger endast vid vilken tidpunkt den registrerade tidigast kan väcka frågan om tillsynsmyndigheten fördröjer
handläggningen. Tidsfristen utgör därmed en spärrtid för tillämpningen av den nya mekanismen för prövning av handläggningsfrågan i ett klagomålsärende. Det är också först vid denna tidpunkt som det finns en rätt till ett effektivt rättsmedel enligt EU:s dataskyddsförordning och dataskyddsdirektivet.
Det är inte rimligt att kräva att tillsynsmyndigheten omgående besvarar den skriftliga begäran om besked i frågan om tillsyn ska inledas eller inte. Det skulle medföra att tillsynsmyndigheten tvingas prioritera den frågan framför alla andra arbetsuppgifter som myndigheten har. Som anges i promemorian bör tillsynsmyndigheten få viss tid på sig för att ta ställning till begäran. Fristen bör vara relativt kort för att möjligheten att begära domstolsprövning av om myndigheten fördröjt handläggningen ska bli ett verkningsfullt medel. Den bör samtidigt vara så pass lång att myndigheten ges en reell möjlighet att ta ställning i frågan om huruvida tillsyn ska inledas och om möjligt lämna klaganden ett slutligt besked i den frågan. I promemorian föreslås att en begäran om besked om huruvida tillsyn ska inledas ska besvaras inom två veckor från den dag begäran kom in till myndigheten. Ingen remissinstans riktar någon invändning mot det förslaget. Även regeringen anser att en frist på två veckor får anses lämplig. Den ger myndigheten goda förutsättningar att överväga frågan och lämna ett besked. Om myndigheten ger den registrerade besked i frågan om tillsyn ska inledas, bör frågan om domstolsprövning inte längre vara aktuell. Det bör gälla oberoende av om beslutet innebär att tillsyn kommer att inledas eller om svaret på frågan är nekande. Som framhålls i promemorian bör myndigheten inte vara skyldig att ge besked om vad tillsynen kommer att omfatta om beskedet är att tillsyn kommer att inledas.
Som Lagrådet anmärker är rättsmedlet inte tillämpligt om tillsynsmyndigheten har utnyttjat sina tillsynsbefogenheter. Det gäller oberoende av om myndigheten har informerat klaganden om det eller inte. Eftersom det huvudsakliga syftet med rättsmedlet är att åstadkomma en möjlighet att driva ärendet framåt, är avgränsningen av tillämpningsområdet för regleringen utformat på ett ändamålsenligt sätt.
Avslutningsvis vill regeringen framhålla att rätten till rättsmedel enligt artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet endast gäller när tillsynsmyndigheten är behörig enligt artiklarna 55 och 56 i dataskyddsförordningen eller artikel 45.1 i dataskyddsdirektivet. Som Integritetsskyddsmyndigheten påpekar omfattar förslaget därför inte situationen när den svenska tillsynsmyndigheten överlämnar ett klagomål till en annan tillsynsmyndighet på grund av att den är behörig myndighet i enlighet med artikel 56 i EU:s dataskyddsförordning.
Tillsynsmyndighetens beslut
Som föreslås i promemorian anser regeringen alltså att regleringen bör utformas så att tillsynsmyndigheten tvingas ta ställning till en begäran från en enskild om att inleda tillsyn, så att klaganden kan få ett överklagbart beslut. Om tillsynsmyndigheten bedömer att den inte kan ge den registrerade besked om huruvida tillsyn kommer att inledas, bör myndigheten därför avslå begäran. I linje med vad som följer av allmänna förvaltningsrättsliga krav bör myndigheten vara skyldig att motivera sitt avslags-
beslut. Den bör i beslutet även upplysa om när den beräknar att kunna ge besked. En motiveringsskyldighet främjar kravet på saklighet, objektivitet och likabehandling i beslutsfattandet och bidrar också till öppenhet och insyn i förvaltningen. Vidare är information om när myndigheten beräknas kunna ge besked viktigt för att den registrerade ska kunna bedöma om han eller hon vill vända sig till domstol. Det är också av betydelse för att domstolen, om den registrerade väljer att överklaga dit, ska få ett så bra underlag som möjligt för sin prövning. Dessutom bör effekten av att myndigheten själv tvingas skapa sig en bild av hur klagomålet fortsättningsvis ska hanteras inte underskattas. Ett motiverat beslut förutsätter att myndigheten gör klart för sig vad som behöver göras. Det bör kunna resultera t.ex. i att tillsynsmyndigheten upprättar en plan för handläggningen. Även ett besked om att myndigheten för närvarande inte kan ta ställning till om tillsyn ska inledas kan på detta indirekta sätt påskynda hanteringen (jfr prop. 2016/17:180 s. 114–115).
Om klaganden begär att få myndighetens besked i tillsynsfrågan innan tremånadersfristen har passerat, bör tillsynsmyndigheten avvisa begäran genom ett skriftligt, motiverat beslut. Det kan här noteras att JO i ett granskningsärende rörande Migrationsverket har godtagit att verket använt ett mer formlöst förfarande där den enskilde i dessa fall har fått ett meddelande med information om att förutsättningarna för att pröva begäran inte är uppfyllda (JO 2022/23 s. 481) . En sådan ordning möjliggör dock inte för klaganden att få sin begäran överprövad. Ur ett unionsrättsligt perspektiv framstår en sådan ordning också som mindre lämplig. Rättssäkerhetskraven enligt dataskyddsregelverket, däribland artikel 78.1 i EU:s dataskyddsförordning, inbegriper en rätt för den som begär att tillsyn ska inledas att klaga på ett beslut att inte inleda tillsyn, inklusive ett beslut om avvisning (jfr HFD 2023 ref. 54 I och II). Mot den bakgrunden anser regeringen att det är naturligt att se det så att även ett ställningstagande om att prövningsförutsättningarna inte är uppfyllda när det gäller en begäran om besked i tillsynsfrågan bör utformas så att det kan överklagas, dvs. ges formen som ett formellt skriftligt beslut.
Verkan av uteblivet besked eller beslut inom tvåveckorsfristen
Det framstår som mycket osannolikt att tillsynsmyndigheten inte kommer kunna ta ställning till en begäran om besked i tillsynsfrågan inom den angivna tvåveckorsfristen. Om det i något särpräglat undantagsfall ändå skulle visa sig att ett ställningstagande från tillsynsmyndigheten skulle utebli blir frågan vilka rättsliga effekter som detta bör få, med hänsyn till utformningen av bestämmelserna om effektivt rättsmedel i artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet. Det kan hävdas att dessa bestämmelser inte ställer upp något krav på att myndigheten faktiskt fattar beslut i frågan. Bestämmelserna måste dock rimligen läsas i ljuset av deras syfte att säkerställa en rätt till domstolsprövning. Om en medlemsstat väljer att införa en prövningsordning som den som nu föreslås, där rätten att vända sig till domstol förutsätter att det finns ett beslut att angripa för klaganden, framstår det som nödvändigt ur ett unionsrättsligt perspektiv att skapa en ordning som medför att det vid myndighetens passivitet finns ett beslut att överklaga. Det saknas visserligen skäl att tro att tillsynsmyndigheten kommer göra sig skyldig
till sådan underlåtenhet. Ur ett unionsrättsligt perspektiv saknar den bedömningen dock praktisk betydelse. Det är viktigt att det finns ett rättsmedel för det fall att myndigheten underlåter att fatta beslut i tid, även om det är mycket osannolikt att det skulle inträffa. I annat fall skulle rätten till domstolsprövning vara villkorad av att tillsynsmyndigheten fattar ett uttryckligt beslut. För att säkerställa att rätten till ett rättsmedel inför domstol ska bli effektiv i enlighet med artikel 47 i EU:s rättighetsstadga och artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet, bör den registrerade ha rätt till domstolsprövning även i en situation då tillsynsmyndigheten inte har tagit ställning till begäran om besked i tillsynsfrågan inom tvåveckorsfristen. Trots den avvikelse förslaget i promemorian innebär från vad som utgör en etablerad ordning på förvaltningsrättens område, ställer sig regeringen därför bakom förslaget. Regleringen bör alltså utformas så att den innebär att underlåtenheten från tillsynsmyndighetens sida att ge besked eller avslå en sådan begäran om besked inom två veckor från det att begäran kom in leder till att begäran anses ha avslagits. Myndighetens passivitet ska alltså ge upphov till ett fiktivt avslagsbeslut. På så sätt öppnas det en formell möjlighet för den registrerade att föra sin sak vidare till domstol.
Det bör avslutningsvis påpekas att vissa regler som är grundläggande för det förvaltningsrättsliga förfarandet inte kommer att vara tillämpliga vid fiktiva avslagsbeslut. Det är en ofrånkomlig följd av det fingerade avslagsbeslutets natur. Eftersom det i dessa fall saknas ett reellt beslut kommer det t.ex. inte att finnas någon beslutsmotivering. Vidare kommer den dokumentation som annars finns för beslut att saknas. Inte heller kommer den registrerade att underrättas om hur ett överklagande går till.
En möjlighet att komma in med en ny begäran om besked
Den registrerade bör vara oförhindrad att återkomma med en ny begäran om besked ifall tillsynsmyndigheten inte beslutar i tillsynsfrågan inom den tid som kan förväntas. Med en sådan ordning ökar pressen på tillsynsmyndigheten att handlägga frågan skyndsamt. För att förfarandet inte ska kunna missbrukas bör dock den registrerade inte kunna begära nytt besked av tillsynsmyndigheten förrän det har gått en viss tid från det senaste avslagsbeslutet. Vad som utgör en rimlig karenstid för att komma in med en ny begäran är inte självklart. I promemorian föreslås emellertid att motsvarande tid som ges för det första beskedet även ska utgöra karenstid för att klaganden ska få begära en ny prövning. Regeringen, som noterar att ingen remissinstans invänder mot bedömningen, ställer sig bakom förslaget och anser att det är väl avvägt.
Om den registrerade kommer in med en ny begäran innan tre månader har passerat, bör tillsynsmyndigheten kunna avvisa begäran i ett formellt beslut, i likhet med vad som föreslås gälla om den registrerade inte väntat ut den initiala spärrtiden om tre månader. Beslutet om avvisning bör i likhet med andra beslut av tillsynsmyndigheten kunna överklagas till domstol.
I de fall där tillsynsmyndigheten inte har tagit ställning till begäran om besked i tillsynsfrågan inom två veckor föreslås underlåtenheten leda till ett fiktivt avslagsbeslut. Vid sådan passivitet hos tillsynsmyndigheten kan det inte anses att den registrerade missbrukar förfarandet om han eller hon
i närtid begär besked på nytt. Regeringen delar därför bedömningen i promemorian att den registrerade i dessa situationer bör vara oförhindrad att återkomma med en ny begäran utan någon begränsning i tiden.
7.2.2. Domstolsprövningen
Regeringens förslag: Om tillsynsmyndigheten avslår den registrerades begäran om besked om huruvida tillsyn kommer att inledas, ska han eller hon få överklaga beslutet till allmän förvaltningsdomstol. En registrerad ska ha motsvarande klagorätt i det fall hans eller hennes begäran om besked i tillsynsfrågan anses avslagen.
Om domstolen bifaller ett sådant överklagande ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i fråga om tillsyn kommer att inledas. Annars ska domstolen avslå överklagandet.
Prövningstillstånd ska krävas för överklagande till kammarrätten.
Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: En majoritet av remissinstanserna, däribland
Forum för dataskydd, Förvaltningsrätten i Stockholm, Justitiekanslern och Säkerhets- och integritetsskyddsnämnden, tillstyrker eller har inga invändningar mot förslaget.
Sveriges advokatsamfund anför bl.a. att de slag av sanktioner som föreslås komma i fråga vid konstaterade dröjsmål väcker frågan om det reella värdet för en enskild av en framgångsrik domstolstalan. Kammarrätten i Stockholm motsätter sig att förvaltningsrättens beslut ska kunna överklagas till högre instans. Juridiska fakultetsstyrelsen vid Lunds universitet anser att det finns anledning att i författningstexten förtydliga vad domstolsprövningen ska begränsas till.
Skälen för regeringens förslag
Rätten att överklaga till allmän förvaltningsdomstol
När det gäller beslut som fattas av en myndighet enligt en EU-förordning följer rätten att överklaga av såväl allmänna förvaltningsrättsliga principer som förvaltningslagen. I samband med införandet av dataskyddslagen uttalade regeringen, mot bakgrund av artikel 78.1 i EU:s dataskyddsförordning, att någon särskild överklagandebestämmelse därför i och för sig inte behövdes i lagen när det gäller beslut som tillsynsmyndigheten fattar enligt förordningen. Mot bakgrund av den förhållandevis komplexa reglering om överklagande som behövdes, och med hänsyn till det stora antalet beslutsfattande myndigheter och klagoberättigade parter, ansåg regeringen dock att regleringen om överklagande borde göras uttömmande i dataskyddslagen (7 kap. 2–4 §§ och prop. 2017/18:105 s. 163). I syfte att tydliggöra att endast sådana beslut som uttryckligen anges i lagen skulle kunna överklagas togs ett överklagandeförbud in i 7 kap. 5 § dataskyddslagen.
I promemorian föreslås det att det ska införas bestämmelser om rätt att överklaga tillsynsmyndighetens aktiva och fiktiva beslut att avslå en begäran om besked i tillsynsfrågan. Bestämmelserna ska enligt förslaget i promemorian tas in i dataskyddslagen respektive brottsdatalagen.
I artikel 78.2 i EU:s dataskyddsförordning regleras rätten till ett effektivt rättsmedel när en tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det. Av skäl 141 i ingressen till förordningen framgår att alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i EU:s rättighetsstadga, om den registrerade anser att hans eller hennes rättigheter enligt förordningen har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. Med utgångspunkt i de slutsatser som Högsta förvaltningsdomstolen har dragit i fråga om tolkningen av artikel 78.1 i förordningen, bör ett beslut av tillsynsmyndigheten att inte lämna besked i handläggningsfrågan i och för sig kunna betraktas som ett sådant beslut som är överklagbart direkt med stöd av artikel 78.2 i förordningen (jfr HFD 2023 ref. 54 I och II). Mot den bakgrunden kan det hävdas att någon bestämmelse om rätt att överklaga tillsynsmyndighetens både aktiva och fiktiva beslut inte behöver tas in i dataskyddslagen och att det överklagandeförbud som framgår av 7 kap. 5 § dataskyddslagen inte heller innebär något hinder mot överklagande av besluten till allmän förvaltningsdomstol. Regeringen anser dock, i likhet med vad som anförs i promemorian, att det framstår som naturligt, inte minst av tydlighetsskäl, att en uttrycklig bestämmelse om rätt att överklaga sådana beslut bör tas in i dataskyddslagen. Regleringen får därmed karaktär av att vara lex specialis i förhållande till de beslut enligt EU:s dataskyddsförordning som anges i 7 kap. 3 §. Bestämmelsen om överklagande bör därför utformas och placeras i lagen så att överklagandeförbudet i 7 kap. 5 § inte omfattar de avslagsbeslut som tillsynsmyndigheten fattar eller ska anses ha fattat vid en begäran om besked, dvs. de nya bestämmelser som föreslås tas in i 6 kap. 8 §.
Vid genomförandet av dataskyddsdirektivet uttalade regeringen att om en myndighets befogenheter regleras i en författning bör det som huvudregel av samma författning framgå om och i så fall hur myndighetens beslut kan överklagas, eftersom det ger en samlad bild av både vilka befogenheter en myndighet har och hur den som blir föremål för myndighetens beslut kan angripa dem (prop. 2017/18:232 s. 352). Följaktligen anges i 7 kap. 3 § brottsdatalagen att tillsynsmyndighetens beslut enligt den lagen får överklagas till allmän förvaltningsdomstol. Precis som i dataskyddslagen infördes ett överklagandeförbud som innebär att andra beslut än de som uttryckligen anges i brottsdatalagen inte får överklagas (7 kap. 4 §).
Artikel 53.2 och skäl 85 i dataskyddsdirektivet uttrycker motsvarande rätt till effektivt rättsmedel inför domstol vid utebliven eller långsam handläggning i tillsynsmyndighetens klagomålshantering som artikel 78.2 och skäl 141 i EU:s dataskyddsförordning. Eftersom det föreslås att tillsynsmyndighetens aktiva och fiktiva avslagsbeslut vid begäran om besked i tillsynsfrågan ska regleras i brottsdatalagen, borde den registrerade i och för sig kunna grunda en rätt till överklagande på 7 kap.
3 §. Även i detta fall delar dock regeringen bedömningen som görs i promemorian att det framstår som naturligt att i brottsdatalagen ta in en särskild bestämmelse om rätt att överklaga sådana beslut. En sådan lösning är dessutom viktig i tydlighetshänseende. Rätten att överklaga tillsynsmyndighetens aktiva och fiktiva avslagsbeslut vid begäran om besked i tillsynsfrågan bör alltså tas in i brottsdatalagen. Den nya regleringen bör utformas så att det överklagandeförbud som finns i 7 kap. 4 § inte omfattar beslut genom vilka tillsynsmyndigheten prövar en begäran om besked om tillsyn kommer att inledas eller inte, eller ett motsvarande fiktivt avslagsbeslut. Regeringen instämmer i bedömningen i promemorian att det, med hänsyn till utformningen av regleringen i 7 kap. i den lagen, finns behov av att ändra bestämmelsen om överklagandeförbud så att undantaget från förbudet omfattar även den nya typen av beslut av tillsynsmyndigheten.
Av 14 § lagen (1971:289) om allmänna förvaltningsdomstolar följer att beslut överklagas till Förvaltningsrätten i Stockholm eftersom tillsynsmyndigheten har sitt säte i Stockholm.
Vad ska domstolsprövningen gå ut på?
För överklagande bör de vanliga reglerna om överklagande i förvaltningsprocesslagen (1971:291) och förvaltningslagen gälla. Beslutet ska således överklagas inom tre veckor från det att den registrerade fått del av det (44 § förvaltningslagen). I de fall den registrerades begäran anses ha avslagits kommer den registrerade aldrig ta del av något reellt beslut. Ett resultat av det blir att överklagandefristen i dessa fall aldrig kommer att löpa ut. Det bedöms dock inte medföra några större praktiska problem. Ett överklagande ska vara skriftligt och ges in till tillsynsmyndigheten. Av överklagandet ska det framgå vilket beslut som överklagas, i detta fall avslagsbeslutet. Det ska också framgå på vilket sätt den registrerade vill att beslutet ska ändras. Här kan yrkandet endast avse att den registrerade vill ha besked om huruvida tillsynsmyndigheten avser att inleda tillsyn (jfr
43 § förvaltningslagen och 3 och 4 §§förvaltningsprocesslagen).
När det gäller ramen för domstolens prövning anförs det i promemorian att domstolen enbart bör pröva om de av tillsynsmyndigheten redovisade skälen för fördröjningen är hållbara. Regeringen ställer sig bakom det synsättet. På så sätt övertar domstolen inte några förvaltningsuppgifter från myndigheten. Inte heller behöver tillsynsmyndigheten uttala sig i frågan om huruvida tillsyn bör inledas, vilket i stället tillsynsmyndigheten bör avgöra självständigt. Därigenom kan funktionsfördelningen mellan instanserna bibehållas. Prövningen i domstol bör därför oftast kunna göras förhållandevis snabbt och enkelt. Saken bör normalt kunna avgöras av ensamdomare (jfr prop. 2016/17:180 s. 124). Juridiska fakultetsstyrelsen vid Lunds universitet ifrågasätter inte en sådan avgränsning av domstolens prövning, men anser att den bör framgå av författningstexten. Regeringen delar dock inte den uppfattningen. Förslaget överensstämmer i detta avseende med hur bestämmelsen i 49 § förvaltningslagen, om en domstols föreläggande när handläggningen försenas, har utformats (se avsnitt 7.1 ). Starka systematiska skäl talar därmed för att den föreslagna bestämmelsen bör ges samma utformning.
Om domstolen anser att den registrerade har fog för sin talan bör överklagandet bifallas. I likhet med vad som föreslås i promemorian, anser
regeringen att domstolen i beslutet, för att ett bifall ska få önskad effekt, bör förelägga tillsynsmyndigheten att ge den registrerade besked i frågan om huruvida tillsyns kommer att inledas.
Även i de undantagsfall där tillsynsmyndigheten inte har tagit ställning till en begäran om besked i tillsynsfrågan bör domstolen endast pröva om fördröjningen har fog för sig. Vid handläggningen av överklagandet har domstolen möjlighet att inhämta yttrande från tillsynsmyndigheten i frågan. Det kan dock antas att det även i avsaknad av motivering från tillsynsmyndigheten kommer att vara möjligt för domstolen att utifrån vad som i övrigt framkommit i ärendet kunna pröva överklagandet.
Ett bifall av den registrerades överklagande innebär att tillsynsmyndighetens skäl för att dröja med besked inte har godtagits och att besked redan borde ha lämnats. I likhet med vad som föreslås i promemorian anser regeringen att det av domstolens beslut om bifall därför bör framgå att tillsynsmyndigheten ska lämna besked till den registrerade snarast. Det understryker vikten av ett snabbt besked från tillsynsmyndigheten efter domstolens prövning på ett tydligt sätt. En ordning där domstolen inte sätter ut en viss frist inom vilken myndigheten ska lämna besked svarar dessutom väl mot artikel 78.2 i EU:s dataskyddsförordning och 53.2 i dataskyddsdirektivet, som anger att information om handläggningen ska ges inom tre månader.
Domstolen bör inte kunna förelägga tillsynsmyndigheten att ge besked om vilka åtgärder som kommer att vidtas mot den personuppgiftsansvarige. Det krävs inte heller enligt artikel 78.2 i EU:s dataskyddsförordning eller artikel 53.2 i dataskyddsdirektivet.
Domstolens beslut ska inte förenas med en sanktion
Det kan diskuteras om domstolens föreläggande till tillsynsmyndigheten bör kunna förstärkas genom någon form av sanktion om myndigheten inte följer föreläggandet. En möjlighet skulle exempelvis kunna vara att ge domstolen rätt att förena föreläggandet med vite. En sådan möjlighet bygger bl.a. på att föreläggandet kan utformas så att det tydligt framgår vad som krävs för att föreläggandet ska vara uppfyllt och när kraven senast ska vara uppfyllda. I promemorian föreslås dock inte någon sådan befogenhet.
Sveriges advokatsamfund anför att det av promemorian inte tydligt framgår hur den grundläggande principen om att en statlig myndighet inte ska förelägga en annan statlig myndighet en skyldighet vid risk för påföljd av vite att vidta en viss åtgärd ska vägas mot den enskildes rätt till effektiva rättsmedel. Advokatsamfundet menar att de slag av sanktioner som i promemorian föreslås kunna komma i fråga vid ett konstaterat dröjsmål (föreläggande om att lämna besked) väcker frågan om det reella värdet för en enskild av en framgångsrik domstolstalan. Frågan om att genom sanktionsregler förstärka effektiviteten i ett system där domstolen kan förelägga en passiv myndighet att meddela ett beslut övervägdes bl.a. i samband med införandet av bestämmelser i förvaltningslagen om ett sådant rättsmedel. Regeringen framhöll då att den föreslagna regleringen förutsätter att förvaltningsmyndigheterna lojalt följer överinstansens beslut och att det är en grundläggande princip att en statlig myndighet inte ska förelägga en annan statlig myndighet en skyldighet att vid risk för
påföljd av vite vidta en viss åtgärd (prop. 2016/17:180 s. 128). Detta är utgångspunkter som regeringen menar alltjämt är giltiga. Det saknas anledning att anta att tillsynsmyndigheten kommer att göra sig skyldig till uppenbart domstolstrots. Med detta synsätt är det svårt att se att en vitessanktion skulle främja rättsmedlets effektivitet, till gagn för den registrerade. Till det kommer att det förslag som nu lämnas innebär att domstolen inte ska sätta ut en viss frist inom vilken tillsynsmyndigheten ska lämna besked i den fråga som föreläggandet gäller. En möjlighet att förena föreläggandet med vite skulle därför i praktiken knappast kunna utnyttjas. Regeringen bedömer därmed att förslagets utformning, även utan en sanktionsmöjlighet, på ett adekvat sätt kommer att stärka den registrerades rättigheter vid utebliven eller långsam handläggning hos tillsynsmyndigheten. Regeringen delar alltså inte advokatsamfundets tvivel i den delen. Sammantaget ställer sig således regeringen bakom bedömningen i promemorian att det inte finns skäl att närmare överväga en sanktionsmöjlighet.
I sammanhanget kan det framhållas att det kan finnas saklig grund för kritik från JO eller JK om tillsynsmyndigheten inte följer föreläggandet. Detta gäller i särskilt hög grad om ett sådant agerande förekommer mera systematiskt i myndighetens verksamhet och kan anses utgöra uppenbart domstolstrots. Några skäl att tro att tillsynsmyndigheten skulle välja att inta ett sådant förhållningssätt i sin verksamhet finns dock inte.
Domstolens beslut ska kunna överklagas
I promemorian föreslås att domstolens beslut ska kunna överklagas och att den registrerade således ska kunna fullfölja sin talan till såväl kammarrätten som Högsta förvaltningsdomstolen. Kammarrätten i Stockholm motsätter sig en sådan ordning och förordar i stället att rätten att föra talan begränsas till en instans. Kammarrätten tvivlar på att möjligheten till domstolsprövning i flera instanser bidrar till att förfarandet blir verkningsfullt och effektivt för den registrerade. Vidare menar kammarrätten att det vid enklare mål kan finnas mindre anledning att tillåta prövning i flera instanser. Kammarrätten är inte heller övertygad av bedömningen som görs i promemorian av antalet överklaganden som förslaget kan antas medföra.
Regeringen gör i avsn itt 7.2.1 bedömningen att det framstår som mest ändamålsenligt att det nya rättsmedel som nu föreslås ska bygga på samma grundprinciper som den reglering som finns i 12 § förvaltningslagen, som reglerar möjligheten för den enskilde att begära att ärendet avgörs i sak när viss tid passerat från det att ett ärende inletts. När överinstansen – normalt en förvaltningsrätt – har prövat en sådan begäran i sak, får ett beslut av överinstansen inte överklagas (49 § andra stycket). Regeringen har övervägt om det, som Kammarrätten i Stockholm föreslår, bör tas in bestämmelser som skär av instansordningen på liknande sätt även i fall som aktualiseras genom den nu föreslagna regleringen. Systematiska och processekonomiska skäl talar i sig för det. Bedömningen av frågan kompliceras dock bl.a. av att den brutna instansordningen, som gäller vid en begäran om avgörande enligt förvaltningslagen, bara tillämpas när en myndighet avslår en sådan begäran, inte i fråga om ett beslut att avvisa en begäran (HFD 2023 ref. 49). Det kan ifrågasättas om en skillnad i hur
avslags- och avvisningsbeslut får överklagas är motiverad och därför om den regleringen är ändamålsenligt utformad. Vidare är ett beslut av tillsynsmyndigheten om att inte inleda tillsyn efter ett klagomål från någon enskild överklagbart enligt sedvanliga regler, dvs. i tre instanser. Skillnaden mellan ett avslag på en begäran om besked om tillsyn alls ska inledas och ett beslut om att tillsyn inte ska inledas kan vara svår för den enskilde att uppfatta. Enligt regeringens mening är regleringen på området så pass komplex att det kan finnas skäl att se över den samlat i syfte att skapa en ökad grad av enhetlighet och klarhet. Till det anförda kommer, som framhålls i promemorian, att de föreslagna bestämmelserna enbart gäller en mycket avgränsad typ av ärenden (klagomål som rör dataskydd). Den EU-rättsliga reglering som ligger till grund för förslaget är – även sett ur ett EU-rättsligt perspektiv – tämligen särpräglad till sin natur. Till skillnad från Kammarrätten i Stockholm, gör regeringen bedömningen att det föreslagna rättsmedlet med stor sannolikhet kommer att tillämpas i mycket få fall (se avsn itt 7.2.1) . Det kan med andra ord förutses att överklagande till förvaltningsrätten inte kommer att aktualiseras annat än i undantagsfall. Överklaganden till kammarrätten kan förmodas bli ännu färre. Om ett överklagande görs, kommer prövningstillstånd att krävas där.
Inom ramen för beredningen av detta lagstiftningsärende finns det inte underlag för att ta ett samlat grepp om instansordningsfrågan. Emellertid kan det finnas anledning att återkomma i frågan i ett senare sammanhang, och då även med avseende på förvaltningslagens instansordningsregler.
Mot bakgrund av den speciella ordning som gäller i fråga om enskildas rätt att överklaga olika beslut av tillsynsmyndigheten vid tillsyn på dataskyddsområdet och med beaktande av den begränsade betydelse som regleringen förväntas få för domstolarna, gör regeringen i det här lagstiftningsärendet bedömningen att – i likhet med vad som föreslås i promemorian – förvaltningsrättens dom i ett överklagat mål som rör begäran om besked om tillsyn ska inledas i ett klagomålsärende hos tillsynsmyndigheten ska vara överklagbart enligt sedvanliga regler. Som framhålls ovan kan regeringen dock få anledning att återkomma till frågan i ett annat sammanhang.
8. Ikraftträdande- och övergångsbestämmelser
Regeringens förslag: Lagändringarna ska träda i kraft den 1 maj 2025.
Regeringens bedömning: Det behövs inte några övergångsbestämmelser.
Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås att lagändringen ska träda i kraft den 1 januari 2025.
Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag och bedömning: I likhet med vad som anförs i promemorian anser regeringen att det är angeläget att de
föreslagna lagändringarna träder i kraft så snart som möjligt. Med hänsyn till kraven på beredning av lagstiftningsärenden i riksdagen och kungörande bedömer regeringen att lagändringarna tidigast kan träda i kraft den 1 maj 2025. Det föreslås därför att lagändringarna ska träda i kraft den dagen.
Den registrerade får begära besked om handläggningen från tillsynsmyndigheten från och med den dag som bestämmelserna träder i kraft. Regeringen delar bedömningen i promemorian att det inte finns något behov av övergångsbestämmelser.
9. Konsekvenser
Regeringens bedömning: Förslagen innebär att rätten till effektivt rättsmedel inför domstol enligt artikel 78.2 i
EU:s
dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet stärks.
Förslagen medför inte några kostnadsökningar för tillsynsmyndigheten. Eventuella kostnadsökningar för berörda förvaltningsdomstolar ryms inom befintliga anslagsramar.
Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Forum för dataskydd instämmer i bedömningen att den registrerades rättigheter stärks. Sveriges advokatsamfund uppger att det vore bra om lagstiftaren gör en mer samlad översyn av även andra delar av den svenska dataskyddslagstiftningen som syftar till att stärka enskildas rättigheter.
Skälen för regeringens bedömning
Konsekvenser i förhållande till EU-rätten
De föreslagna bestämmelserna i dataskyddslagen och brottsdatalagen syftar till att förstärka de registrerades rätt till ett effektivt rättsmedel inför domstol enligt artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet. Regeringen delar den bedömning som görs i promemorian om att det står klart att Sverige, genom de föreslagna reglerna om ett nytt rättsmedel mot utebliven eller långsam handläggning hos tillsynsmyndigheten, och de övriga rättsmedel som den registrerade har tillgång till, uppfyller kravet på effektivt rättsmedel enligt artiklarna. Vidare noterar regeringen det önskemål som Sveriges advokatsamfund för fram, men konstaterar samtidigt att det för närvarande inte är aktuellt att ta initiativ till en mera samlad översyn av även andra delar av den svenska dataskyddslagstiftningen.
Ekonomiska konsekvenser för tillsynsmyndigheten och berörda domstolar
Införandet av rätten till dröjsmålstalan medför inte att några nya arbetsuppgifter läggs på tillsynsmyndigheten. Skyndsamhetskravet och serviceskyldigheten som gäller i förfarandet enligt förvaltningslagen innebär i praktiken att den enskildes klagomål kommer att behandlas och efter-
frågad information lämnas inom de i EU-rättsakterna angivna tidsramarna. JO och JK har befogenheter att genom uttalanden inom ramen för sin extraordinära tillsyn ingripa vid fel och brister – långsam handläggning inbegripet – inom den statliga förvaltningen. Det har i deras tillsyn inte framkommit något som ger några indikationer på att det förekommer problem med långsam handläggning hos tillsynsmyndigheten när det gäller sådana klagomålsärenden som EU:s dataskyddsförordning och dataskyddsdirektivet reglerar och överträdelseärendet tar sikte på. Med all sannolikhet kommer de föreslagna reglerna inte att behöva tillämpas annat än i ett mycket begränsat antal fall. Regeringen instämmer därför i den bedömning som görs i promemorian om att förslagen inte förväntas medföra några kostnadsökningar för tillsynsmyndigheten.
Förslaget innebär att en ny måltyp kommer att behöva hanteras i Förvaltningsrätten i Stockholm, som är överprövningsinstans för ärenden som tillsynsmyndigheten beslutar i, Kammarrätten i Stockholm och Högsta förvaltningsdomstolen. Mot bakgrund av att det nya rättsmedlet inte förväntas komma att tillämpas annat än i ett mycket begränsat antal fall gör regeringen bedömningen de ekonomiska konsekvenser som den nya måltypen kan tänkas innebära ryms inom befintliga anslagsramar för Sveriges Domstolar.
Övriga konsekvenser
Regeringen instämmer i bedömningen i promemorian att förslaget till ett nytt rättsmedel vid utebliven eller långsam handläggning av klagomålsärenden hos tillsynsmyndigheten inte kommer att medföra några konsekvenser för den kommunala självstyrelsen, brottsligheten eller det brottsförebyggande arbetet, sysselsättningen och offentlig service i olika delar av landet, små företag, eller möjligheterna att nå de jämställdhetspolitiska eller integrationspolitiska målen.
10. Författningskommentar
10.1. Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
6 kap.
Besked om handläggningen av ett klagomål
8 § Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål
kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Tillsynsmyndigheten ska lämna ett besked eller meddela ett beslut inom två veckor från den dag då begäran kom in till myndigheten. Om så inte har skett ska begäran anses ha avslagits.
Om tillsynsmyndigheten har avslagit en begäran får den registrerade lämna in en ny begäran tidigast tre månader därefter.
Paragrafen, som är ny, innehåller bestämmelser om registrerades rätt att få besked angående handläggningen av klagomål som lämnats till tillsynsmyndigheten. Paragrafen utformas i huvudsak enligt Lagrådets förslag. Övervägandena finns i avsnitt 7.2.1.
I första stycket anges att om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas i anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade antingen lämna besked i frågan eller i ett särskilt beslut avslå begäran. Kravet på skriftlighet är teknikneutralt och kan uppfyllas på flera sätt, t.ex. genom att klaganden underrättar myndigheten genom ett vanligt brev eller via elektronisk post. Tremånadersfristen beräknas med utgångspunkt i bestämmelserna om beräkning av tiden för en inkommen handling i 22 § förvaltningslagen.
Bestämmelsen innebär att tillsynsmyndigheten antingen ska lämna besked om huruvida den avser att inleda tillsyn eller avslå den registrerades begäran om besked. Om myndigheten lämnar ett besked i frågan, faller frågan om möjligheten att begära domstolsprövning enligt 7 kap. 3 a §. Tillsynsmyndigheten behöver inte redovisa hur tillsynen kommer att bedrivas eller ange vilka åtgärder som skulle kunna aktualiseras om myndigheten bestämmer sig för att inleda tillsyn. Myndigheten behöver inte heller motivera själva ställningstagandet att inleda tillsyn. Det beskedet är inte överklagbart eftersom det inte har några faktiska verkningar och inte heller blir bindande för klaganden på ett sådant sätt att det är överklagbart (jfr 41 § förvaltningslagen). Det finns dock inget som hindrar att myndigheten anger skälen för sitt beslut. Om myndigheten i stället beslutar att tillsyn inte ska inledas behöver det beslutet dock normalt motiveras. Det beslutet, som innebär att myndigheten inte gör det som begärs i klagomålet, är överklagbart enligt bestämmelsen i artikel 78.1 i EU:s dataskyddsförordning (jfr HFD 2023 ref. 54 I och II). Av 7 kap. 3 § följer att tillsynsmyndighetens beslut överklagas till allmän förvaltningsdomstol.
Om myndigheten inom den angivna fristen inte kan ge besked om den avser att inleda tillsyn eller inte, ska den avslå begäran om besked. Ett avslag ska vara skriftligt och innehålla en klargörande motivering. Av den klargörande motiveringen ska det framgå varför myndigheten inte kan ge besked. Många gånger kan det också vara lämpligt att tillsynsmyndigheten anger hur lång tid myndigheten beräknar att den ytterligare behöver för att kunna ta ställning i frågan om den ska inleda tillsyn.
Bestämmelsen är tillämplig när Integritetsskyddsmyndigheten är behörig tillsynsmyndighet enligt artikel 55 och 56 i EU:s dataskyddsförordning. Om ett klagomål ska överlämnas till en annan tillsynsmyndighet på grund av att den är behörig myndighet i enlighet med artikel 56 är bestämmelsen alltså inte tillämplig.
Av andra stycket följer att besked eller beslut ska meddelas inom två veckor från den dag då den skriftliga begäran om besked kom in till tillsynsmyndigheten. Frågan när begäran ska anses ha kommit in prövas med utgångspunkt i bestämmelserna i 22 § förvaltningslagen.
Av stycket följer också att om tillsynsmyndigheten inte inom den tvåveckorsfrist som anges lämnar besked eller i ett beslut avslår en begäran om besked, ska den registrerades begäran om besked anses ha avslagits. Tillsynsmyndighetens passivitet leder därmed till ett fiktivt avslagsbeslut. Det är endast begäran om besked om huruvida tillsyn ska inledas som ska anses avslagen. Det fiktiva avslagsbeslutet omfattar alltså inte själva huvudsaken.
Vid ett fiktivt avslagsbeslut kommer förvaltningslagens bestämmelser om bl.a. hur ett beslut fattas (28 §), om dokumentation och motivering av beslut (31 och 32 §§) och om underrättelse om innehållet i ett beslut (33 §) inte att kunna tillämpas. Bestämmelsen om fiktiva avslagsbeslut innebär alltså en avvikelse från förvaltningslagens krav i dessa avseenden.
Efter ett fiktivt avslagsbeslut, kan tillsynsmyndigheten fatta ett nytt faktiskt beslut i frågan under de förutsättningar som anges i 36–39 §§förvaltningslagen.
Av tredje stycket framgår att den registrerade på nytt kan rikta en begäran om besked till tillsynsmyndigheten tidigast tre månader efter det förra beslutet. Bestämmelsen är inte tillämplig om tillsynsmyndigheten redan vid det första tillfället beslutade att inte inleda tillsyn. I ett sådant fall kan en begäran från den registrerade, beroende på omständigheterna, i stället uppfattas som en förnyad begäran om tillsyn. Det ligger på myndigheten att inom ramen för sin serviceskyldighet försöka klarlägga den registrerades motiv till begäran. Regleringen hindrar inte den enskilde från informella kontakter med myndigheten om handläggningen, men möjligheten att få ett formellt överklagbart beslut begränsas enligt paragrafen. Bestämmelsen gäller inte i de fall en begäran om besked om huruvida tillsyn ska inledas anses avslagen enligt andra stycket.
7 kap.
3 a § Tillsynsmyndighetens beslut att avslå en begäran enligt 6 kap. 8 § första
stycket får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som anses ha avslagits enligt 6 kap. 8 § andra stycket.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Paragrafen, som är ny, reglerar rätten att överklaga tillsynsmyndighetens beslut att avslå en begäran om besked i tillsynsfrågan och fiktiva avslagsbeslut avseende en sådan begäran. Paragrafen utformas efter synpunkter från Lagrådet. Övervägandena finns i avsnitt 7.2.2.
I första stycket anges att tillsynsmyndighetens beslut att avslå en begäran om besked enligt 6 kap. 8 § första stycket får överklagas till allmän förvaltningsdomstol. Detsamma gäller i de fall enligt 6 kap. 8 § andra stycket då tillsynsmyndigheten, inom tvåveckorsfristen, inte lämnar besked eller fattar beslut i frågan om huruvida tillsyn ska inledas med anledning av klagomålet och den registrerades begäran om besked anses ha avslagits. Av 14 § lagen (1971:289) om allmänna förvaltningsdomstolar följer att beslut överklagas till Förvaltningsrätten i Stockholm eftersom Integritetsskyddsmyndigheten, som är tillsynsmyndighet, har sitt säte i Stockholm.
Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten.
Föreläggande när handläggningen av ett klagomål har försenats
6 § Om domstolen bifaller ett överklagande som avses i 3 a §, ska den förelägga
tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
I paragrafen, som är ny, finns en bestämmelse om domstolens åtgärder vid bifall till ett överklagande av ett beslut där tillsynsmyndigheten har avslagit en begäran om besked i tillsynsfrågan eller sådan begäran anses ha avslagits. Övervägandena finns i avsnitt 7.2.2.
Bestämmelsen reglerar situationen när domstolen bifaller ett överklagande som avses i 3 a §. Av bestämmelsen följer att om domstolen bifaller överklagandet ska den förelägga tillsynsmyndigheten att snarast meddela den registrerade om huruvida tillsyn kommer att inledas. Domstolen ska inte pröva frågan om det finns rättslig grund för att tillsyn bör inledas. Prövningen är i stället begränsad till om frågan om tillsyn ska inledas är tillräckligt klarlagd för att det ska vara möjligt att ta ställning och lämna besked i frågan om handläggningen. För sin bedömning behöver domstolen ta del av handlingarna så att den kan ta ställning till om tillsynsmyndigheten haft tillräckligt underlag för att ta ställning i den frågan. Om domstolen konstaterar att dröjsmålet är motiverat, dvs. att skälen till att något besked inte har lämnats är godtagbara, ska den avslå överklagandet. Vid bedömningen av om skälen för fördröjningen är godtagbara kan domstolen bl.a. behöva pröva om ärendet har handlagts med den skyndsamhet som varit påkallad och om eventuella avbrott i handläggningen kan accepteras. Det är inte möjligt att ange generellt hur lång tid tillsynsmyndigheten bör få på sig. En prövning måste göras i det enskilda fallet.
Av bestämmelsen följer vidare att om domstolen kommer fram till att tillsynsmyndigheten dragit ut på handläggningen ska den förelägga myndigheten att snarast ge klaganden besked i frågan om huruvida tillsyn kommer att inledas. Det finns inte något utrymme för domstolen att förelägga myndigheten att avgöra ärendet inom viss tid. Någon möjlighet för domstolen att förena föreläggandet med vite eller någon annan sanktion finns inte.
10.2. Förslag till lag om ändring i brottsdatalagen (2018:1177)
5 kap.
Besked om handläggningen av ett klagomål
13 § Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål
kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Tillsynsmyndigheten ska lämna ett besked eller meddela ett beslut inom två veckor från den dag då begäran kom in till myndigheten. Om så inte har skett ska begäran anses ha avslagits.
Om tillsynsmyndigheten har avslagit en begäran får den registrerade lämna in en ny begäran tidigast tre månader därefter.
Paragrafen, som är ny, innehåller bestämmelser om registrerades rätt att få besked angående handläggningen av klagomål som lämnats till tillsynsmyndigheten. Den genomför artikel 53.2 i dataskyddsdirektivet. Paragrafen utformas i huvudsak enligt Lagrådets förslag. Övervägandena finns i avsnitt 7.2.1.
Bestämmelserna är tillämpliga när Integritetsskyddsmyndigheten är behörig tillsynsmyndighet enligt artikel 45.1 i dataskyddsdirektivet. Bestämmelserna motsvarar bestämmelserna i 6 kap. 8 § dataskyddslagen, men gäller vid klagomål på brottsbekämpningens område. Se kommentaren till den paragrafen.
7 kap.
3 a § Tillsynsmyndighetens beslut att avslå en begäran enligt 5 kap. 13 § första
stycket får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som anses ha avslagits enligt 5 kap. 13 § andra stycket.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Paragrafen, som är ny, reglerar rätten att överklaga tillsynsmyndighetens beslut att avslå en begäran om besked i tillsynsfrågan och fiktiva avslagsbeslut avseende en sådan begäran. Paragrafen utformas efter synpunkter från Lagrådet. Övervägandena finns i avsnitt 7.2.2.
Bestämmelserna motsvarar bestämmelserna i 7 kap. 3 a § dataskyddslagen, men gäller vid klagomål på brottsbekämpningens område. Se kommentaren till den paragrafen.
4 § Andra beslut enligt denna lag än de som avses i 2–3 a §§ får inte överklagas.
Paragrafen innehåller en bestämmelse om överklagandeförbud. Övervägandena finns i avsnitt 7.2.2.
Ändringen innebär att beslut som tillsynsmyndigheten fattar när någon enskild begär att få ett besked om tillsyn kommer att inledas eller inte undantas från överklagandeförbudet. Detsamma gäller sådana fiktiva beslut som anses ha fattats om något besked inte lämnats.
Föreläggande när handläggningen av ett klagomål har försenats
5 § Om domstolen bifaller ett överklagande som avses i 3 a §, ska den förelägga
tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
I paragrafen, som är ny, finns en bestämmelse om domstolens åtgärder vid bifall till ett överklagande av ett beslut där tillsynsmyndigheten har avslagit en begäran om besked i tillsynsfrågan eller sådan begäran anses ha avslagits. Övervägandena finns i avsnitt 7.2.2.
Bestämmelsen motsvarar bestämmelsen i 7 kap. 6 § dataskyddslagen, men gäller vid klagomål på brottsbekämpningens område. Se kommentaren till den paragrafen.
Sammanfattning av promemorian En dröjsmålstalan i dataskyddslagen och brottsdatalagen (Ju2024/00708)
I promemorian föreslås att det i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och brottsdatalagen tas in bestämmelser om dröjsmålstalan vid utebliven eller långsam handläggning hos tillsynsmyndigheten. Bestämmelserna innebär att en registrerad efter att tre månader förflutit från det att ett klagomål lämnades in till tillsynsmyndigheten kan begära att få besked om huruvida tillsynsmyndigheten avser att inleda tillsyn eller inte, förutsatt att något sådant besked inte tidigare har lämnats. Tillsynsmyndigheten har enligt förslaget då två veckor på sig att antingen lämna sådant besked eller avslå begäran i ett motiverat beslut. Om tillsynsmyndigheten inte lämnar besked eller fattar beslut inom den tidsfristen ska begäran anses ha avslagits. Tillsynsmyndighetens beslut föreslås kunna överklagas till förvaltningsrätten. Detta gäller även i fråga om ett avslagsbeslut som ska anses ha fattats om besked inte lämnas inom den angivna tidsfristen. Förvaltningsrätten ska, om den anser att tillsynsmyndigheten borde ha möjlighet att lämna ett besked i tillsynsfrågan, förelägga myndigheten att göra det snarast.
Lagändringarna föreslås träda i kraft den 1 januari 2025.
Promemorians lagförslag
Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
Härigenom föreskrivs att det i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska införas fyra nya paragrafer, 6 kap. 8 och 9 §§ och 7 kap. 3 a och 6 §§, och närmast före 6 kap. 8 § och 7 kap. 6 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
6 kap.
Besked om handläggningen av ett klagomål
8 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i den frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Besked eller beslut enligt första stycket ska meddelas inom två veckor från den dag då begäran kom in till myndigheten.
Om tillsynsmyndigheten har avslagit en begäran enligt första stycket, får den registrerade begära nytt besked tidigast tre månader efter det att myndighetens beslut meddelades.
9 §
Om tillsynsmyndigheten inte lämnar besked eller fattar beslut enligt 8 § första stycket inom den tidsfrist som anges i 8 § andra stycket, ska begäran anses ha avslagits.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 6 kap. 8 § får överklagas till allmän förvaltningsdomstol. Detsamma gäller i fråga om en begäran som anses ha avslagits enligt 6 kap. 9 §.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Föreläggande när handläggningen av ett klagomål har försenats
6 §
Om domstolen bifaller ett överklagande av sådana beslut som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 januari 2025.
Förslag till lag om ändring i brottsdatalagen (2018:1177)
Härigenom föreskrivs i fråga om brottsdatalagen (2018:1177)
dels att 7 kap. 4 § ska ha följande lydelse,
dels att det ska införas fyra nya paragrafer, 5 kap. 13 och 14 §§ och 7 kap. 3 a och 5 §§, och närmast före 5 kap. 13 § och 7 kap. 5 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
5 kap.
Besked om handläggningen av ett klagomål
13 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i den frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Besked eller beslut enligt första stycket ska meddelas inom två veckor från den dag då begäran kom in till myndigheten.
Om tillsynsmyndigheten har avslagit en begäran enligt första stycket, får den registrerade begära nytt besked tidigast tre månader efter det att myndighetens beslut meddelades.
14 §
Om tillsynsmyndigheten inte lämnar besked eller fattar beslut enligt 13 § första stycket inom den tidsfrist som anges i 13 § andra stycket, ska begäran anses ha avslagits.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 5 kap. 13 § får överklagas till allmän förvaltningsdomstol. Detsamma gäller i fråga om en begäran som anses ha avslagits enligt 5 kap. 14 §.
Prövningstillstånd krävs vid överklagande till kammarrätten.
4 §
Andra beslut enligt denna lag än de som avses i 2 och 3 §§ får inte överklagas.
Andra beslut enligt denna lag än de som avses i 2–3 a §§ får inte överklagas.
Föreläggande när handläggningen av ett klagomål har försenats
5 §
Om domstolen bifaller ett överklagande av sådana beslut som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 januari 2025.
Förteckning över remissinstanserna
Efter remiss har yttranden över promemorian lämnats av Domstolsverket, Förvaltningsrätten i Stockholm, Integritetsskyddsmyndigheten, Justitiekanslern, Kammarrätten i Stockholm, Juridiska fakultetsstyrelsen vid Lunds universitet, Sveriges advokatsamfund, Säkerhets- och integritetsskyddsnämnden och Forum för dataskydd.
Riksdagens ombudsmän har avstått från att yttra sig. Dataskydd.net har inte inkommit med något yttrande.
Lagrådsremissens lagförslag
Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning
Härigenom föreskrivs att det i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska införas fyra nya paragrafer, 6 kap. 8 och 9 §§ och 7 kap. 3 a och 6 §§, och närmast före 6 kap. 8 § och 7 kap. 6 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
6 kap.
Besked om handläggningen av ett klagomål
8 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i den frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Besked eller beslut enligt första stycket ska meddelas inom två veckor från den dag då begäran kom in till myndigheten.
Om tillsynsmyndigheten har avslagit en begäran enligt första stycket, får den registrerade begära nytt besked tidigast tre månader efter det att myndighetens beslut meddelades.
9 §
Om tillsynsmyndigheten inte lämnar besked eller fattar beslut enligt 8 § första stycket inom den tidsfrist som anges i 8 § andra stycket, ska begäran anses ha avslagits.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 6 kap. 8 § får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som anses ha avslagits enligt 6 kap. 9 §.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Föreläggande när handläggningen av ett klagomål har försenats
6 §
Om domstolen bifaller ett överklagande av sådana beslut som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 april 2025.
Förslag till lag om ändring i brottsdatalagen (2018:1177)
Härigenom föreskrivs i fråga om brottsdatalagen (2018:1177)
dels att 7 kap. 4 § ska ha följande lydelse,
dels att det ska införas fyra nya paragrafer, 5 kap. 13 och 14 §§ och 7 kap. 3 a och 5 §§, och närmast före 5 kap. 13 § och 7 kap. 5 § nya rubriker av följande lydelse.
Nuvarande lydelse Föreslagen lydelse
5 kap.
Besked om handläggningen av ett klagomål
13 §
Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna besked i den frågan. Om tillsynsmyndigheten inte kan lämna besked i frågan ska den i ett särskilt beslut avslå begäran.
Besked eller beslut enligt första stycket ska meddelas inom två veckor från den dag då begäran kom in till myndigheten.
Om tillsynsmyndigheten har avslagit en begäran enligt första stycket, får den registrerade begära nytt besked tidigast tre månader efter det att myndighetens beslut meddelades.
14 §
Om tillsynsmyndigheten inte lämnar besked eller fattar beslut enligt 13 § första stycket inom den tidsfrist som anges i 13 § andra stycket, ska begäran anses ha avslagits.
7 kap.
3 a §
Tillsynsmyndighetens beslut att avslå en begäran enligt 5 kap. 13 § får överklagas till allmän förvaltningsdomstol. Detsamma gäller en begäran som anses ha avslagits enligt 5 kap. 14 §.
Prövningstillstånd krävs vid överklagande till kammarrätten.
4 §
Andra beslut enligt denna lag än de som avses i 2 och 3 §§ får inte överklagas.
Andra beslut enligt denna lag än de som avses i 2–3 a §§ får inte överklagas.
Föreläggande när handläggningen av ett klagomål har försenats
5 §
Om domstolen bifaller ett överklagande av sådana beslut som avses i 3 a §, ska den förelägga tillsynsmyndigheten att snarast lämna den registrerade besked i frågan om huruvida tillsyn kommer att inledas.
Denna lag träder i kraft den 1 april 2025.
Lagrådets yttrande
Utdrag ur protokoll vid sammanträde 2024-11-25
Närvarande: F.d. justitieråden Eskil Nord och Sten Andersson samt justitierådet Marie Jönsson
Ett nytt rättsmedel i dataskyddslagen och brottsdatalagen
Enligt en lagrådsremiss den 7 november 2024 har regeringen (Justitiedepartementet) beslutat inhämta Lagrådets yttrande över förslag till
1. lag om ändring i lagen (2018:218) med kompletterande bestämmelser
till EU:s dataskyddsförordning,
2. lag om ändring i brottsdatalagen (2018:1177).
Förslagen har inför Lagrådet föredragits av kanslirådet Philip Forsberg.
Förslagen föranleder följande yttrande.
Inledning
I lagrådsremissen föreslås att ett nytt rättsmedel ska införas mot utebliven eller långsam handläggning hos tillsynsmyndigheten i fråga om tillsyn med stöd av dataskyddslagen och brottsdatalagen. Avsikten är att den enskilde (den registrerade) som lämnat in ett klagomål till tillsynsmyndigheten (Integritetsskyddsmyndigheten) ska få ett besked i rimlig tid i frågan om ifall tillsyn ska inledas eller inte.
Förslaget i lagrådsremissen syftar till att motsvara den reglering som kommer till uttryck i artikel 78.2 i EU:s dataskyddsförordning och artikel 53.2 i dataskyddsdirektivet. Anledningen till att frågan kommit upp är att kommissionen i ett pågående överträdelseärende mot Sverige anfört att den anser att svensk rätt saknar ett sådant rättsmedel som avses i artikeln. I artikel 78.2 anges följande (artikel 53.2 i direktivet bedöms ha samma innebörd och utelämnas här):
Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det
klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det.
Regeringen gör i lagrådsremissen bedömningen att artikeln bör ges en innebörd som medför att de registrerade på ett verkningsfullt sätt kan angripa eventuell underlåtenhet att med tillräcklig skyndsamhet behandla klagomålet, dvs. att en överprövningsmöjlighet ställs till förfogande för den enskilde.
Avsikten synes vara att den enskildes rätt till skyndsam handläggning och rättsmedel, som denna rätt anses komma till uttryck i artikelns lydelse, kan uppnås genom två skilda tidsfrister under handläggningen och att den registrerade ges en rätt att angripa en passivitet från tillsynsmyndighetens sida.
Lagrådet antecknar att de föreslagna bestämmelserna är tillämpliga endast när tillsynsmyndigheten varit passiv. Det innebär att om myndigheten har utnyttjat sina tillsynsbefogenheter, t.ex. genom att skicka en förfrågan till den personuppgiftsansvarige, så är bestämmelserna inte tillämpliga oavsett om tillsynsmyndigheten informerat den registrerade om detta.
Förslaget till lag om ändring i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning
Ny underrubrik i 6 kap.
Lagrådet föreslår att den nya underrubriken före 6 kap. 8 § ges följande lydelse. ”Underrättelse och beslut om handläggningen av ett klagomål”.
Skälen för Lagrådets förslag framgår av vad Lagrådet anför i det följande.
6 kap. 8 §
Avsikten är, som framgått, att myndigheten ska ta ställning till om ett klagomål från den registrerade ska leda till att tillsyn inleds. Om myndigheten inte har tagit ställning inom tre månader från den dag klagomålet kom in till myndigheten (den första tidsfristen) har den registrerade möjlighet att lämna in en skriftlig begäran och ska då få besked i frågan om tillsyn ska inledas eller inte. Detta besked ska lämnas inom två veckor från det att begäran kom in till myndigheten (den andra tidsfristen).
Myndigheten ska inom denna andra tidsfrist antingen lämna ett besked eller, om den inte har möjlighet att lämna besked, i ett särskilt beslut avslå begäran. Om så inte sker ska begäran anses ha avslagits.
Domstolen har efter ett överklagande att pröva om det funnits fog för myndigheten att inte ge besked före utgången av tvåveckorsfristen. Om domstolen finner att så inte är fallet ska den bifalla överklagandet genom
att förelägga myndigheten att ”snarast” lämna besked i frågan om tillsyn kommer att inledas.
Lagrådet har inga invändningar mot förslaget i sak.
Lagrådet lämnar emellertid i det följande synpunkter på dess utformning.
Vad gäller frågan om vilket ställningstagande som myndigheten ska göra anser Lagrådet att det är olyckligt att använda begreppet besked i detta sammanhang. I en snarlik situation anges i förvaltningslagen att en underrättelse ska lämnas (11 § förvaltningslagen). Lagrådet anser att det skulle göra regleringen något tydligare och underlätta tillämpningen om det i förvaltningslagen etablerade begreppet ”underrättelse” används i stället för ”besked”.
Lagrådet noterar för övrigt att den föreslagna nya underrubriken utgår från endast ”besked” och inte nämner beslut. Underrubriken bör tillföras begreppet underrättelse, om Lagrådets förslag godtas.
Det är dessutom Lagrådets uppfattning att lagtexten i övrigt skulle kunna omredigeras så att den skulle bli tydligare och därmed mera lättillämpad.
Enligt Lagrådets mening skulle regleringen kunna ges följande, enklare, utformning utan att innebörden av förslaget ändras.
8 § Om tillsynsmyndigheten inte inom tre månader från den dag då ett klagomål kom in till myndigheten har tagit ställning till om tillsyn ska inledas med anledning av klagomålet, ska myndigheten efter skriftlig begäran av den registrerade lämna denne en underrättelse om sitt ställningstagande i frågan.
Om myndigheten inte kan lämna en sådan underrättelse ska den i stället i ett särskilt beslut avslå begäran.
Tillsynsmyndigheten ska lämna en underrättelse eller meddela ett beslut om avslag inom två veckor från den dag den registrerades begäran kom in till myndigheten. Om så inte har skett ska begäran anses ha avslagits.
Om myndigheten har avslagit en begäran får den registrerade lämna in en ny begäran tidigast tre månader därefter.
6 kap. 9 §
Om Lagrådets förslag till annan lydelse av 6 kap. 8 § godtas blir 9 § överflödig och kan utgå.
7 kap. 3 a §
Om Lagrådets förslag till annan lydelse av 6 kap. 8 § godtas kan andra meningen i första stycket utgå.
Förslaget till lag om ändring i brottsdatalagen
Vad Lagrådet anfört i fråga om förslaget till lagen om ändring i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning är tillämpligt även i fråga om rubricerade lagförslag.
Justitiedepartementet
Utdrag ur protokoll vid regeringssammanträde den 16 januari 2025
Närvarande: statsminister Kristersson, ordförande, och statsråden Svantesson, Edholm, J Pehrson, Waltersson Grönvall, Jonson, Strömmer, Forssmed, Tenje, Forssell, Slottner, M Persson, Malmer Stenergard, Liljestrand, Brandberg, Bohlin, Carlson, Pourmokhtari, Rosencrantz, Dousa
Föredragande: statsrådet Strömmer
Regeringen beslutar proposition Ett nytt rättsmedel i dataskyddslagen och brottsdatalagen