Ökad och rättvis tillgång till data – kompletterande bestämmelser till EU:s dataförordning

• Bestämmelser som ger offentliga organ inom EU möjlighet att begära tillgång till data från företag vid ett exceptionellt behov, t.ex. vid ett allmänt nödläge.

• Bestämmelser om skyddsåtgärder för att förhindra att myndigheter i tredjeländer får tillgång till icke-personuppgifter i strid med EU:s eller nationell lagstiftning.

• Grundläggande krav på interoperabilitet för att säkerställa att data smidigt kan delas mellan sektorer och medlemsstater.

Uppdraget

EU:s dataförordning är direkt tillämplig i medlemsstaterna. Vårt uppdrag är att lämna förslag på de kompletterande författningsbestämmelser som behövs för att Sverige ska uppfylla de krav som ställs på medlemsstaterna för att säkerställa att förordningen efterlevs, samt lämna förslag på övriga åtgärder.

Nationella bestämmelser behövs för att uppfylla kravet i förordningen på effektiva och avskräckande sanktioner vid överträdelser av förordningen och vi ska därför föreslå sådana bestämmelser. En central del av uppdraget är att utreda vilka befogenheter den behöriga myndigheten behöver enligt förordningen. Vidare ska vi föreslå nödvändiga organisatoriska och resursmässiga förstärkningar för den behöriga myndigheten samt ta ställning till om andra berörda myndigheter behöver tilläggsuppdrag. Vi ska även föreslå de nödvändiga åtgärder som behövs för att uppfylla dataförordningens krav i fråga om tillgång till certifierade tvistlösningsorgan.

Vi ska lämna förslag om åtgärder för att möjliggöra att offentliga organ kan ta emot data vid exceptionella behov. Dessutom ska vi identifiera vilka administrativa och rättsliga hinder svenska företag och offentliga organ kan möta vid tillämpningen av dataförordningen och föreslå åtgärder som kan minimera sådana hinder. Enligt uppdraget ska vi också föreslå hur tekniska och semantiska standarder och interoperabiliteten mellan system kan förbättras.

Behovet av kompletterande regelverk

Vi föreslår att de svenska bestämmelser som behöver komplettera EU:s dataförordning ska samlas i en ny lag och en ny förordning. I betänkandet benämns de föreslagna författningarna kompletteringslagen respektive kompletteringsförordningen. Vidare föreslår

vi att ord och uttryck i kompletteringslagen och kompletteringsförordningen ska ha samma betydelse som i dataförordningen. Vi föreslår också att hänvisningarna till dataförordningen i kompletteringslagens bestämmelser om sanktionsavgift och anmärkning ska vara statiska, dvs. avse förordningen i den ursprungliga lydelsen. Övriga hänvisningar ska vara dynamiska, dvs. avse förordningen i den vid varje tidpunkt gällande lydelsen.

Vidare föreslår vi att det ska införas en ny upplysningsbestämmelse i 49 § upphovsrättslagen (1960:729) för att säkerställa ett den lagen tillämpas i enlighet med dataförordningens bestämmelse om rätten av sitt eget slag i EU:s databasdirektiv.

Vi föreslår också ändringar i förordningen (2007:951) med instruktion för Post- och telestyrelsen och förordningen (2016:602) om finansiering av Post- och telestyrelsens verksamhet.

Vi föreslår att kompletteringslagen, kompletteringsförordningen och övriga författningsändringar ska träda i kraft den 1 juli 2026. Det behövs inte några övergångsbestämmelser.

En behörig myndighet ska säkerställa efterlevnad av EU:s dataförordningen

Medlemsstaterna ska enligt dataförordningen utse en eller flera behöriga myndigheter som ska säkerställa efterlevnaden av förordningen. Om flera sådana myndigheter utses ska en av dem utses till datasamordnare. Vi föreslår att det ska anges i kompletteringslagen att regeringen ska utse en eller flera behöriga myndigheter och att en av dessa ska utses till datasamordnare, om flera behöriga myndigheter utses.

Regeringen har gett Post-och telestyrelsen (PTS) i uppdrag att vara behörig myndighet enligt dataförordningen. Uppdraget ska gälla under 2025 och 2026. Vi har alltså inte haft i uppdrag att föreslå vilken eller vilka myndigheter som ska vara behörig myndighet.

I betänkandet har vi utgått ifrån att PTS ska vara enda behöriga myndighet i Sverige och vi föreslår att regeringen i kompletteringsförordningen ska utse PTS till behörig myndighet.

Dataförordningen föreskriver vilka befogenheter behöriga myndigheter ska ha och att befogenheterna ska vara väl definierade. Vi föreslår därför att myndighetens befogenheter och uppgifter ska anges i författning. Vissa av dessa innebär myndighetsutövning mot enskild och bör anges i kompletteringslagen medan andra uppgifter kan beslutas med stöd av restkompetensen, dvs. av regeringen i kompletteringsförordningen.

Myndigheten ska enligt kompletteringslagen kunna ingripa mot överträdelser av dataförordningen genom att besluta om sanktionsavgift eller meddela anmärkning. Den ska även kunna besluta om förelägganden t.ex. om att upphöra med en viss åtgärd. Förelägganden ska kunna förenas med vite.

Vi föreslår att sanktionsavgift ska tas ut med ett minsta belopp om 5 000 kronor och ett högsta belopp om 20 miljoner kronor. För fysiska personer som inte bedriver näringsverksamhet föreslår vi att beloppet ska vara lägst 1 000 kronor och högst 10 000 kronor.

Vi föreslår bestämmelser i kompletteringslagen om möjligheten att överklaga av den behöriga myndighetens beslut till allmän förvaltningsdomstol. De innebär exempelvis att den som har gett in ett klagomål ska ha rätt att överklaga myndighetens beslut att inte vidta åtgärder med avseende på klagomålet.

Den behöriga myndigheten ska utöver detta ha de befogenheter och uppgifter som anges i kompletteringsförordningen. Dessa innefattar att myndigheten ska hantera klagomål och undersöka frågor som rör tillämpningen av dataförordningen. Myndigheten ska även, för att säkerställa en konsekvent och effektiv tillämpning av dataförordningen, samarbeta med behöriga myndigheter i andra medlemsstater och med kommissionen eller Europeiska datainnovationsstyrelsen (EDIB). Samarbete ska även ske med relevanta behöriga myndigheter som ansvarar för genomförandet av andra unions- eller nationella rättsakter. Vidare ska den behöriga myndigheten bl.a. främja kunskap om dataförordningen och datakompetensen.

En statlig myndighet ska certifiera tvistlösningsorgan

För att lösa vissa tvister ska bl.a. användare, datahållare och datamottagare enligt dataförordningen ha tillgång till ett tvistlösningsorgan som certifierats enligt förordningen. Förordningen ställer inte krav på att medlemsstaterna ska inrätta eller utse ett tvistlösningsorgan. I stället anges att medlemsstaterna på begäran av ett tvistlösningsorgan ska certifiera detta, om det uppfyller de krav som ställs. Vi föreslår därför att det i kompletteringslagen ska anges att regeringen ska utse en statlig myndighet som ska ha i uppgift att certifiera tvistlösningsorgan enligt dataförordningen (en certifierande myndighet). Vi föreslår att PTS ska utses till certifierande myndighet. PTS ska ha möjlighet att ta ut en ansökningsavgift från tvistlösningsorgan som ansöker om att bli certifierat.

Åtgärder för att säkerställa att offentliga organ kan begära och använda data vid exceptionellt behov

Offentliga organ kan med stöd av kapitel V i dataförordningen begära data från företag om organen har ett exceptionellt behov av data. Ett exceptionellt behov kan föreligga bl.a. om data behövs för att hantera ett allmänt nödläge. Vi bedömer att offentliga organ i Sverige behöver stöd i tillämpningen av kapitlet. Åtgärder för att underlätta tillämpningen av kapitlet bör prioriteras för att hantera exceptionella behov som grundar sig i hantering av allmänna nödlägen.

Regeringsuppdrag till Myndigheten för samhällsskydd och beredskap

Vi föreslår att regeringen ska ge Myndigheten för samhällsskydd och beredskap (MSB) i uppdrag att ge stöd till svenska offentliga organ i deras arbete med att förbereda för att vid behov begära, ta emot och använda data vid exceptionellt behov för att hantera allmänna nödlägen. Uppdraget ska vara tidsbegränsat till ett år. I uppdraget ska ingå att identifiera om det finns behov av fortsatta åtgärder samt om uppdraget ska vara en permanent uppgift för myndigheten.

Regeringsuppdrag till sektorsansvariga beredskapsmyndigheter

Vi föreslår att regeringen ska ge sektorsansvariga beredskapsmyndigheter i uppdrag att kartlägga tekniska och organisatoriska förutsättningar inom respektive beredskapssektor för att begära, ta emot och använda data vid allmänt nödläge. Vid behov ska myndigheterna lämna förslag till åtgärder som kan vidtas för att förbättra förutsättningarna. Uppdraget ska vara tidsbegränsat till ett år.

Åtgärder för att minska administrativa hinder för företag och offentliga organ

Dataförordningen är ett nytt och komplext regelverk och det råder osäkerhet om hur den ska tillämpas. Osäkerheten beror bl.a. på att många bestämmelser lämnar utrymme för tolkning. Sammantaget ställer förordningen upp många nya krav som berörda företag och organisationer måste anpassa sina verksamheter efter. Detta innebär en administrativ börda och kostnader för aktörerna.

Eftersom dataförordningen utgör direkt tillämplig rätt är utrymmet begränsat för att på nationellt plan vidta åtgärder för att minska administrativa hinder som uppstår. I stället kommer EU och medlemsstaternas behöriga myndigheter, genom kommissionen och EDIB, ha viktiga roller för att tydliggöra hur dataförordningen ska tolkas och tillämpas. PTS kommer som behörig myndighet att ha en viktig roll för att främja kunskapen om dataförordningen och datakompetensen.

Vidare bör enligt vår bedömning arbetet med tekniska och semantiska standarder och interoperabilitet med anledning av dataförordningen bedrivas på EU-nivå.

Regeringsuppdrag till PTS att inrätta regulatorisk testverksamhet

För att underlätta för aktörer att tolka och tillämpa dataförordningen föreslår vi att PTS ges i uppdrag att införa regulatorisk testverksamhet för att lämna fördjupad vägledning om tillämpningen av dataförordningen. Med sådan testverksamhet avser vi fördjupad vägledning till en eller flera aktörer inom ett avgränsat område eller i relation till en specifik aktivitet om hur dataförordningen bör tolkas och tillämpas.

Ett sådant arbetssätt understödjer syftet med dataförordningen, dvs. att skapa en rättvis, konkurrenskraftig och innovativ europeisk datamarknad. Detta ger PTS en möjlighet att i rollen som behörig myndighet anlägga ett utforskande och lärande perspektiv som inte är möjlig inom ramen för formell tillsyn. Det ger även PTS en möjlighet att bygga ökad kunskap om förordningen genom ett utforskande arbetssätt tillsammans med aktörer som berörs av dataförordningen. Uppdraget ska vara tidsbegränsat till två år.

Konsekvenser

Våra förslag syftar till att uppfylla kraven på nationella åtgärder enligt dataförordningen och bidra till ett ändamålsenligt och effektivt genomslag av förordningen.

Våra förslag berör framför allt PTS som behörig myndighet och certifierande myndighet. Det nya uppdraget kommer att innebära utökade arbetsuppgifter vilket ställer resursmässiga krav. Vi föreslår att finansieringen bör ske genom ökade anslag.

Därutöver berörs MSB samt de sektorsansvariga beredskapsmyndigheterna i och med att vi föreslår att de ska ges särskilda regeringsuppdrag. För att finansiera de ökade kostnader hos MSB som förslaget bedöms ge upphov till föreslår vi att myndigheten tillförs medel.

Kostnader som uppstår till följd av uppdraget till de sektorsansvariga beredskapsmyndigheterna bör enligt vår bedömning kunna hanteras inom befintlig ekonomisk ram.

Vidare bedömer vi att förslagen inte leder till ökade kostnader för kommuner och regioner eller att de inskränker den kommunala självstyrelsen. Förslagen förväntas leda till något ökade kostnader för förvaltningsdomstolarna. Kostnadsökningarna bedöms åtminstone initialt inte vara större än att de kan hanteras inom befintliga ekonomiska ramar.