3.2.1
Myndighetsuppgifter
I SDG-förordningen finns bestämmelser om nya uppgifter för de behöriga myndigheterna på såväl EU-nivå som nationell nivå och för de nationella samordnarna. I förordningen namnges inga nationella behöriga myndigheter i medlemsstaterna, men myndigheterna bestäms med stöd av artikel 3.4 genom de tjänster och funktioner som nämns i förordningen. Den nya regleringen ålägger de behöriga myndigheterna skyldigheter som gäller privatpersoners och företags tillgång till information, problemlösningstjänster och förfaranden samt utbytet av information i det tekniska systemet, enligt vad som föreskrivs i förordningens artiklar och bilagor. Förordningen påverkar i praktiken tiotals nationella myndigheter inom olika ministeriers förvaltningsområden. Enligt UF-centrets information är dessa myndigheter i detta skede:
AN-tjänsterna, dataombudsmannen, Energimyndigheten, Finnvera, Folkpensionsanstalten, Försäkrings- och finansrådgivningen, kommunerna, Konkurrens- och konsumentverket, Lantmäteriverket, Livsmedelsverket, Migrationsverket, Myndigheten för digitalisering och befolkningsdata, NTM-centralerna, Nödcentralsverket, Patent- och registerstyrelsen, Pensionsskyddscentralen, Polisen, Regionförvaltningsverken, Skatteförvaltningen, Strålsäkerhetscentralen, Säkerhets- och kemikalieverket, Säkerhets- och utvecklingscentret för läkemedelsområdet, Tillstånds- och tillsynsverket för social- och hälsovården, Trafikförsäkringscentralen, Trafikledsverket, Transport- och kommunikationsverket, Tullen, Utbildningsstyrelsen, finansministeriet, inrikesministeriet, justitieministeriet, kommunikationsministeriet, miljöministeriet, social- och hälsovårdsministeriet, undervisnings- och kulturministeriet och utrikesministeriet. Konsekvenserna för Business Finland Ab och försvarsministeriet utreds fortfarande.
Aktörer som är förpliktade enligt bilaga II, det vill säga behöriga myndigheter med skyldighet att tillhandahålla elektroniska förfaranden och utbyta bevis, är bland annat Myndigheten för digitalisering och befolkningsdata, Folkpensionsanstalten, Skatteförvaltningen och Utbildningsstyrelsen. I och med yrkeskvalifikationer och företagstillstånd kan bilaga II innebära skyldigheter också för till exempel Säkerhets- och kemikalieverket och Tillstånds- och tillsynsverket för social- och hälsovården. Det bör noteras att SDG-förordningens tillämpningsområde redan har utvidgats genom ny EU-reglering efter att den trädde i kraft, och avsikten är att tillämpningsområdet ska utvidgas och förändras med tiden. Det är alltså omöjligt att så att säga statiskt och permanent förteckna de behöriga myndigheter som förpliktas av förordningen. På UF-centrets webbplats sdgfinland.fi finns förteckningar över myndigheter och tjänster som omfattas av tillämpningsområdet för bilaga II till SDG-förordningen.
För närvarande har bland annat bevis över mottagen studieplats, bevis över avlagd högskoleexamen, studentexamensbevis, examensbevis över en tidigare avlagd examen på annan examensnivå samt beskattningsuppgifter utomlands identifierats som bevis som ska utbytas i OOTS-systemet. Dessutom kan det förekomma många olika bevis i samband med att företagsverksamhet inleds eller bedrivs, bland annat kan de gälla olika kvalifikations-, registrerings- och tillståndsuppgifter för företag eller tjänsteleverantörer. När tillämpningsområdet för SDG-förordningen utvidgas kan man framöver i OOTS-systemet utbyta också andra typer av bevis. I OOTS-systemet utbyts åtminstone inte i det första skedet sekretessbelagda uppgifter eller uppgifter som hör till särskilda kategorier av personuppgifter, eventuellt med undantag för inkomstregisteruppgifter som är sekretessbelagda med stöd av 24 § 1 mom. 23 punkten i lagen om offentlighet i myndigheternas verksamhet (621/1999) (nedan
offentlighetslagen
) och vissa hälsouppgifter och andra motsvarande uppgifter som är sekretessbelagda med stöd av 24 § 1 mom. 25 punkten i offentlighetslagen och som hör till särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen. I de här situationerna är emellertid de i de nämnda författningarna angivna undantagen från förbuden mot utlämnande eller behandling av uppgifter tillämpliga, varför offentlighetslagen eller dataskyddslagstiftningen inte utgör hinder för utbyte av bevis med stöd av den direkt tillämpliga förordningen.
Kommunerna ansvarar för förfarandena i bilaga II till SDG-förordningen endast i fråga om tillstånd och anmälningar som hänför sig till näringsverksamhet. I dessa ingår inga e-tjänster som är kopplade till OOTS-systemet, eftersom kommunernas företagstillstånd inte för närvarande omfattar bevis som utbyts inom OOTS-systemet.
I Finland har den information som ska sammanställas i den digitala ingången (bilaga I) funnits tillgänglig på myndigheternas webbplatser och kopplad till den digitala ingången i enlighet med förordningen sedan den 12 december 2020. Vidare är flera av förfarandena i bilaga II tillgängliga online eller under utveckling, men kan inte användas gränsöverskridande. Informationens rörlighet enligt engångsprincipen bedöms ha varit begränsad, och har grundat sig på avtal mellan myndigheterna. Inom SDG-förordningens tillämpningsområde har det förekommit endast lite gränsöverskridande informationsutbyte mellan myndigheter. Hjälp- och problemlösningstjänsterna enligt bilaga III till förordningen har varit tjänster som redan är i drift. Tillgången till dem har möjliggjorts genom olika myndigheters onlinetjänster och de är kopplade till den digitala ingången.
3.2.3
Utbyte av uppgifter och skydd för personuppgifter
Allmänt om utbyte av uppgifter i OOTS-systemet
Genom den gemensamma digitala ingången finns information från kommissionen och medlemsstaterna tillgänglig på ett och samma ställe om vissa rättigheter och skyldigheter för privatpersoner och företag i samband med den inre marknadens funktion, relaterade förfaranden samt hjälp- och problemlösningstjänster. Dessutom ska privatpersoner och företag kunna använda onlineförfaranden enligt engångsprincipen. Information som en privatperson eller ett företag har lämnat till en medlemsstat ska på begäran lämnas till andra medlemsstaters myndigheter och duga som underlag för myndighetsbeslut också i andra medlemsstater.
Genomförandeförordningen om utbyte av bevis ger medlemsstaterna handlingsutrymme när det gäller delarna i OOTS-systemet. Enligt skäl 9 i ingressen till genomförandeförordningen ska medlemsstaterna kunna besluta om de vill ha en eller flera eDelivery-åtkomstpunkter som en del av OOTS-systemet. En medlemsstat ska därför ha möjlighet att inrätta en centraliserad åtkomstpunkt för alla som begär och lämnar bevis för eDelivery-kommunikation i OOTS-systemet via en plattform, beroende på vad som är lämpligt i fallet, eller alternativt inrätta flera åtkomstpunkter på vilken nivå som helst i hierarkin eller för vissa delar eller sektorer eller geografiska nivåer inom den offentliga förvaltningen. I enlighet med artikel 1.6 i genomförandeförordningen avses med
förmedlingsplattform
en teknisk lösning som agerar i eget namn eller på andra enheters vägnar, till exempel de som lämnar eller begär bevis, beroende på den administrativa organisationen i de medlemsstater där förmedlingsplattformen är verksam och genom vilken de som lämnar eller begär bevis tar kontakt med de gemensamma tjänster som avses i artikel 4.1 eller med dem som lämnar eller begär bevis i andra medlemsstater.
I Finland har planeringen utgått från kostnadseffektivitet, användarorientering, användbarhet och informationssäkerhet. UF-centret har ansvarat för planeringen och genomförandet av systemet i samarbete med styrgruppen för det nationella SDG-projektet. I stället för att varje behörig myndighet har en egen eDelivery-åtkomstpunkt och ett utrymme för förhandsgranskning ska en överföring av bevis genomföras med hjälp av ett centraliserat system som UF-centret ansvarar för och äger. UF-centret ansvarar också för förmedlingsplattformen i enlighet med genomförandeförordningen om utbyte av bevis. Systemet, som är avsett att aktiveras i slutet av 2024 (sannolikt först under 2025), planeras fungera så här:
En privatperson eller ett företag i ett annat EU- eller EES-land som vill utnyttja OOTS-systemet för att använda en finländsk onlinetjänst inleder processen i den finländska onlinetjänsten och identifierar sig med ett eIDAS-identifieringsverktyg. När bevis begärs har användaren möjlighet att ladda upp dem direkt i ärendeprocessen, om användaren redan förfogar över bevisen, eller att utnyttja OOTS-systemet. Med hjälp av funktionen för bevisbegäran i det nationella OOTS-systemet väljer användaren vilket bevis från vilken medlemsstat personen vill hämta och förhandsgranska. Denna uttryckliga förfrågan från användaren startar myndighetens begäran om bevis från en annan medlemsstats grunddatalager, och användaren omdirigeras till utrymmet för förhandsgranskning i den andra medlemsstatens OOTS-system för att kontrollera uppgifterna i beviset. Om användaren i förhandsgranskningen godkänner att beviset används skickas beviset till den begärande myndigheten i Finland via det system som UF-centret förvaltar.
En privatperson eller ett företag i Finland som i sin tur vill uträtta ett ärende i en annan medlemsstats onlinetjänst utför åtgärderna för begäran av bevis i den andra EU- eller EES-medlemsstatens onlinetjänst, och bevisbegäran från myndigheten i den andra medlemsstaten kommer till utrymmet för förhandsgranskning i Finland. Efter att användaren identifierat sig på nytt och identiteten på det sättet fastställts hämtar utrymmet för förhandsgranskning beviset från det finländska grunddatalagret och skapar för användaren en version av beviset som kan förhandsgranskas. Efter att användaren har godkänt att beviset används skickas beviset genom kanalerna för utbyte av information till den begärande medlemsstaten och den begärande myndigheten. I praktiken ska UF-centret förvalta utrymmet för förhandsgranskning och den efterföljande dataöverföringen till dess att beviset har övergått till ett system i en annan medlemsstat.
I artikel 28.5 i genomförandeförordningen, som handlar om utbyte av bevis, föreskrivs i fråga säkerhet bland annat att den bevislämnande partens medlemsstat i enlighet med punkt 4 i samma artikel i varje specifikt bevisutbyte ska ansvara för det begärda bevisets kvalitet, konfidentialitet, integritet och tillgänglighet tills beviset når den bevisbegärande partens åtkomstpunkt för eDelivery eller, i tillämpliga fall, en förmedlingsplattform. Den bevisbegärande partens medlemsstat ska i varje specifikt bevisutbyte ansvara för det begärda bevisets konfidentialitet och integritet från och med den tidpunkt då det når dess åtkomstpunkt för eDelivery.
I de förfaranden som beskrivs ovan är UF-centrets skyldigheter som personuppgiftsansvarig begränsade till det nationella OOTS-systemet och den fas av informationsöverföringen där det begärda beviset rör sig från den avsändande myndigheten (som lämnar beviset) till den mottagande myndigheten (som begär beviset).
Den personuppgiftsansvariges skyldigheter i processen för begäran av bevis gäller det ögonblick då beviset anländer från en annan EU-medlemsstat till det nationella OOTS-systemet. Beviset lagras en kort stund tills den begärande myndigheten hämtar det eller tills det skickas till den begärande myndigheten. När beviset har skickats till den begärande myndigheten blir ingen version kvar hos UF-centret, utan det förstörs/raderas ur systemet.
I de fall då en begäran kommer från en annan EU-stat gäller personuppgiftsansvaret den stund då utrymmet för förhandsgranskning i det nationella OOTS-systemet hämtar beviset ur det nationella datalagret och den användare som begär uppgifter förhandsgranskar beviset och beslutar att det antingen ska användas eller inte användas. När beviset har skickats till den begärande myndigheten (eller när användaren har beslutat att inte använda beviset) blir ingen version kvar hos UF-centret, utan beviset förstörs/raderas ur systemet.
I praktiken har UF-centret beviset i sin besittning från några minuter till högst ungefär en vecka. Centret har tillgång till beviset under förmedlingsprocessen och kan, beroende på vad som är lämpligt, omvandla material från en strukturerad form till en människoläsbar form eller, i undantagsfall, filtrera data i enlighet med kraven i SDG-förordningen. De behöriga myndigheterna är dock ansvariga för det materiella innehållet i beviset och för att uppgifterna är korrekta. Främst är det fråga om filtrering av eventuella onödiga uppgifter vid överlämnande av bevis till den behöriga myndigheten i en annan medlemsstat och innan användaren har godkänt att det används i utrymmet för förhandsgranskning, och omvandling av bevisets strukturella form till människoläsbar form innan det utländska beviset levereras till den nationella behöriga myndigheten, för att det ska kunna säkerställas att myndigheten har tillgång till beviset och kan hantera det. Omvandling av den strukturella formen till människoläsbar form kan också komma i fråga vid överlämnandet av bevis till den behöriga myndigheten i en annan medlemsstat, men omvandlingen ska göras innan användaren har kontrollerat och godkänt användningen av beviset i utrymmet för förhandsgranskning. I enlighet med skäl 17 i ingressen till genomförandeförordningen ska den som lämnar bevis eller, i förekommande fall, förmedlingsplattformen kunna möjliggöra automatisk filtrering av uppgifterna när det gäller strukturerat bevis, om endast en delmängd uppgifter begärs i begäran om bevis.
Uppgifterna om bevisbegäranden loggas i en nationell loggningstjänst i enlighet med genomförandeförordningen om utbyte av bevis.
Tillämpningen av OOTS-systemet och utbytet av bevis mellan de behöriga myndigheterna i EU:s medlemsstater är förknippade med dataskyddsrättsliga frågor. I OOTS-systemet överförs bland annat personuppgifter om sökande i förvaltningsärenden. Uppgifterna utbyts med hjälp av tekniska gränssnitt, men inte automatiskt helt utan den sökandes medverkan. Användaren ska ha möjlighet att granska bevisen på förhand i utrymmet för förhandsgranskning och rätt att bestämma sig för att inte utbyta bevis, i fall att användaren efter att ha granskat det bevis som ska utbytas konstaterar att uppgifterna är felaktiga, föråldrade eller onödiga för det aktuella förfarandet.
Enligt UF-centrets konsekvensbedömning enligt informationshanteringslagen behandlas inte sekretessbelagda uppgifter eller uppgifter som hör till särskilda kategorier av personuppgifter enligt dataskyddsförordningen. Senare har det framgått att uppgifter i inkomstregistret som är sekretessbelagda med stöd av 24 § 1 mom. 23 punkten i offentlighetslagen kan överföras som bevis, och när det gäller förmåner kan andra medlemsstater också begära handlingar som innehåller uppgifter om en klient inom socialvården eller en enskild kund inom arbetsförvaltningen samt om en förmån eller en stödåtgärd som denne fått eller om en socialvårdstjänst eller en tjänst inom arbetsförvaltningen eller uppgifter om en persons hälsotillstånd eller funktionsnedsättning eller om en tjänst inom hälso- och sjukvården och rehabiliteringen (24 § 1 mom. 25 i offentlighetslagen och den kategori av särskilda personuppgifter som avses i artikel 9 i dataskyddsförordningen). De behöriga myndigheterna får behandla följande personuppgifter vid utbyte av bevis: inloggningsuppgifter, användaridentifikationer, bevis som gäller användaren. Bevis som rör barn och omyndiga personer eller andra fysiska personer får endast överföras om användaren enligt nationell lagstiftning har rätt att begära sådant material. I sista hand bestämmer varje behörig myndighet själv vilka bevis som kan utbytas inom OOTS-systemet. Bevis överförs via OOTS-systemet endast på begäran av användaren och med användarens godkännande via ett separat utrymme för förhandsgranskning. Under informationsutbytet har andra parter än de myndigheter som är juridiskt verksamma inom OOTS och som ansvarar för förfarandet i fråga inte tillgång till användarens personuppgifter. De eDelivery Access Points som krävs för dataöverföringen behandlar personuppgifter endast för att möjliggöra utbyte av bevis.
Enligt 29 § i offentlighetslagen kan en myndighet lämna uppgifter ur sekretessbelagda handlingar till en annan myndighet bland annat när i lag särskilt tagits in uttryckliga bestämmelser om rätten att lämna ut eller att få uppgifter. I 30 § i offentlighetslagen föreskrivs det om lämnande av sekretessbelagda uppgifter till utländska myndigheter och internationella organ. Enligt den paragrafen kan en myndighet utöver vad som särskilt bestäms i lagen lämna ut uppgifter ur en sekretessbelagd handling till en utländsk myndighet eller ett internationellt organ, om samarbetet mellan den utländska och den finska myndigheten regleras i en för Finland bindande internationell överenskommelse eller föreskrivs i en rättsakt som är bindande för Finland och om uppgifter ur handlingen enligt denna lag kan lämnas ut till den finska myndighet som bedriver samarbetet. Det har också betydelse att utbytet av bevis alltid kräver en uttrycklig förfrågan från användaren, det vill säga från offentlighetslagens synpunkt den som skyddas, vilket med stöd av offentlighetslagen normalt upphäver behovet av sekretess. Offentlighetslagen utgör således inget hinder för att bevis innehåller uppgifter som i princip är sekretessbelagda enligt offentlighetslagen.
Om beviset innehåller uppgifter som hör till känsliga kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen, vilket ovan anges vara möjligt i anslutning till vissa förmåner eller om beviset innehållet annat motsvarande i framtiden, är det möjligt att lämna ut beviset med stöd av 6 § 1 mom. 2 punkten i dataskyddslagen (5.12.2018/1050). Enligt den paragrafen tillämpas inte behandlingsförbudet enligt artikel 9.1 i dataskyddsförordningen gällande särskilda kategorier av personuppgifter på behandling av uppgifter som regleras i lag eller som direkt beror på en uppgift som enligt lag hör till den personuppgiftsansvarige. I SDG-förordningen föreskrivs det inte om några undantag när det gäller sekretessbelagda eller andra känsliga personuppgifter, utan de förfaranden som fastställs i förordningen ska vara möjliga på elektronisk väg, inklusive eventuellt utbyte av relevanta bevis, oavsett vilken typ av information det rör sig om.
Det är möjligt att också uppgifter om tredje personer visas utan att de medverkar till överföringen av uppgifterna eller nödvändigtvis ens är medvetna om den. På grund av skillnaderna mellan lagstiftningen i olika länder är det möjligt att olika slags uppgifter registreras i samma typ av handling i olika länder. Den information som behövs till exempel i ett utdrag ur befolkningsregistret i ett land, behövs inte nödvändigtvis i ett annat land, och därmed kan ett utländskt bevis som en sökande lämnar in innehålla så kallade onödiga personuppgifter i det nationella förfarandet. SDG-förordningen och genomförandeförordningen om utbyte av bevis innehåller dock bestämmelser om att de uppgifter som behövs ska ges till användaren, om OOTS-systemets funktion och om möjligheten till förhandsgranskning. SDG-förordningen innehåller också en bestämmelse om att myndigheten får använda beviset endast för det förfarande som det utbytts för (artikel 14.8).
SDG-förordningen och genomförandeförordningen om utbyte av bevis reglerar de behöriga myndigheternas bevisbegärande och bevislämnande roller samt tjänsteanvändarnas rättigheter. I genomförandeförordningen regleras också det tekniska systemets egenskaper och ansvarsförhållandena i samband med systemet, samt behörighetsfördelningen i gränsöverskridande situationer. Vid behandlingen av personuppgifter ska utöver bestämmelserna i SDG-förordningen även dataskyddsförordningen och den kompletterande nationella dataskyddslagen följas. Frågan gäller närmast huruvida den ovannämnda regleringen utgör en tillräcklig ram för skyddet av personuppgifter, med hänsyn till såväl grundlagens som dataskyddslagstiftningens krav, och särskilt med beaktande av det nationella genomförandesättet, där UF-centret spelar en viktig roll när det gäller utbyte av bevis inom OOTS-systemet.
Allmänna förutsättningar för behandling av personuppgifter
EU:s allmänna dataskyddsförordning förutsätter att personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Behandlingen av personuppgifter, vilket inbegriper bland annat insamling, lagring och utlämnande, är laglig endast när den utförs på någon av de grunder som anges i artikel 6.1 a–f i förordningen. Den grund för behandlingen som avses i dataskyddsförordningens artikel 6.1 c (rättslig förpliktelse) och 6.1 e (allmänt intresse) ska fastställas i enlighet med antingen unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3). I fråga om leden c och e har medlemsstaterna getts nationellt handlingsutrymme att anta mer detaljerade bestämmelser som preciserar förordningen. Sådana bestämmelser ska vara proportionella och förenliga med ett mål av allmänt intresse.
Personuppgifter ska behandlas enligt de allmänna principer som anges i artikel 5.1 a–f i dataskyddsförordningen (bland annat ändamålsbegränsning, uppgiftsminimering och korrekthet). Bland annat av principen om ändamålsbegränsning följer att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och i regel inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det är möjligt att avvika från principen om ändamålsbegränsning antingen med den registrerades samtycke eller på de villkor som anges i artikel 23 i dataskyddsförordningen. Med tanke på regleringen är det viktigt att identifiera vem som är personuppgiftsansvarig för uppgifterna, det vill säga med stöd av artikel 4.7 i dataskyddsförordningen i detta fall en myndighet, en institution eller ett annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter är den personuppgiftsansvarige skyldig att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24.1 i dataskyddsförordningen).
Om minst två personuppgiftsansvariga gemensamt fastställer de ovannämnda ändamålen med och medlen för behandlingen är de enligt dataskyddsförordningen gemensamt personuppgiftsansvariga, som det föreskrivs närmare om i artikel 26 i den förordningen.
Dataskyddsreglering enligt SDG-förordningen och genomförandeförordningen om utbyte av bevis
Enligt artikel 33 i SDG-förordningen ska behandlingen av personuppgifter av behöriga myndigheter inom ramen för förordningen överensstämma med dataskyddsförordningen. I ingressen till förordningen (skäl 42) förklaras att i syfte att möjliggöra lagligt gränsöverskridande utbyte av bevis och information genom unionsomfattande tillämpning av engångsprincipen, bör förordningen och engångsprincipen tillämpas i enlighet med alla tillämpliga regler för dataskydd, inbegripet principerna om uppgiftsminimering, korrekthet, lagringsminimering, integritet och konfidentialitet, nödvändighet, proportionalitet och ändamålsbegränsning. Genomförandet bör också ske i full överensstämmelse med principerna om inbyggd säkerhet (security by design) och inbyggt integritetsskydd (privacy by design), samt med respekt för enskilda personers grundläggande rättigheter, inbegripet de som avser rättvisa och öppenhet.
Det säkra tekniska system som bör inrättas för att möjliggöra utbyte av bevis enligt denna förordning bör också ge behöriga myndigheter som begärt bevis visshet om att det har tillhandahållits av rätt utfärdande myndighet. Den behöriga myndigheten bör, innan den godkänner information som en användare tillhandahåller i samband med ett förfarande, kunna kontrollera informationen om det uppstår tvivel och kunna fastställa att den är korrekt.
I artikel 33 i genomförandeförordningen om utbyte av bevis föreskrivs det om
behandling av personuppgifter
att när det gäller behandling av personuppgifter i bevis som utbyts genom det tekniska engångssystemet och som förekommer i de komponenter i det tekniska engångssystemet som de äger i enlighet med artikel 25 i genomförandeförordningen ska medlemsstaternas respektive behöriga myndigheter i deras egenskap av bevisbegärande eller bevislämnande part agera som personuppgiftsansvarig enligt definitionen i artikel 4.7 i dataskyddsförordningen och de närmare bestämmelserna i artiklarna 34 och 35 i genomförandeförordningen.
I artikel 34 i genomförandeförordningen föreskrivs det om
de bevisbegärande parternas ansvarsområden som uppgiftsansvarig
att den berörda bevisbegärande parten eller, i förekommande fall, förmedlingsplattformen för varje bevisutbyte genom det tekniska engångssystemet ska vara ensam ansvarig för bevisbegärans fullständighet och lagenlighet, och vidare att den bevisbegärande parten särskilt ska säkerställa att beviset krävs för det särskilda förfarande för vilket det begärs av en användare (punkt 1). När det bevis som utbyts genom det tekniska engångssystemet blir tillgängligt för den bevisbegärande parten eller, i tillämpliga fall, förmedlingsplattformen, antingen efter att användaren valt att gå vidare med bevisutbytet i enlighet med artikel 14.3 f i SDG-förordningen, eller vid de förfaranden som avses i artikel 14.5 i SDG-förordningen, ska den bevisbegärande parten eller, i tillämpliga fall, förmedlingsplattformen säkerställa samma skyddsnivå för personuppgifter enligt dataskyddsförordningen som i en situation då användaren överlämnar eller laddar upp beviset utan att använda det tekniska engångssystemet (punkt 2).
I artikel 35.1 om
de bevislämnande parternas ansvarsområden som uppgiftsansvarig
föreskrivs det att utan att det påverkar deras skyldigheter enligt dataskyddsförordningen ska den berörda bevislämnande parten eller, i tillämpliga fall, förmedlingsplattformen, för varje bevisutbyte genom det tekniska engångssystemet, vara ensam ansvarig för att kontrollera
a) att det begärda bevis som de har kan matchas med användaren i enlighet med artikel 16,
b) att användaren har rätt att använda det bevis som begärts.
Om en förmedlingsplattform tillhandahåller ett utrymme för förhandsgranskning i enlighet med artikel 15.1 b ii i genomförandeförordningen ska förmedlingsplattformen enligt artikel 35.2 betraktas som personuppgiftsbiträde som handlar för den bevislämnande partens räkning i enlighet med artikel 4.8 i dataskyddsförordningen.
Enligt den uppfattning som UF-centret fick i samband med förhandlingarna om SDG-förordningen grundar sig punkten på uppfattningen att de behöriga myndigheterna skulle ha egna förhandsgranskningssystem och inte använda den så kallade centraliserade lösningen, vilket är den modell som valts av Finland och flera andra medlemsstater.
Bestämmelser om användarens rätt att förhandsgranska bevis som ska utbytas, och andra aktörers motsvarande skyldighet att ordna detta, finns bland annat i artikel 1.14, artikel 9.1 b, artikel 14.1 och artikel 15.1 b ii i genomförandeförordningen.
Dataskyddsrättslig grund för utbyte av uppgifter
Delning eller överföring av uppgifter i en servicekedja är behandling av personuppgifter, som omfattas av tillämpningsområdet för dataskyddsförordningen, och kräver en rättslig grund som anges i artikel 6.1 i dataskyddsförordningen. I SDG-förordningen och genomförandeförordningen om utbyte av bevis avgörs inte frågan om den dataskyddsrättsliga grunden för behandling av personuppgifter, men ett beslut om frågan har fattats i undergruppen till den kommissionsledda samordningsgruppen, där alla medlemsstater är företrädda. Enligt undergruppen är grunden för behandlingen ”den rättsliga förpliktelse som åvilar den personuppgiftsansvarige” enligt artikel 6.1 c i dataskyddsförordningen. Undergruppens beslut är inte rättsligt bindande på samma sätt som lagstiftning, men eftersom den rättsliga grunden också kan härledas genom tolkning kan undergruppens beslut betraktas som en klarläggning av rättsläget och som tillräckligt. Utbytet av bevis är gränsöverskridande, och då är det viktigt att medlemsstaterna tillämpar samma rättsliga grund. Också av den anledningen kan det anses motiverat att avstå från nationell lagstiftning.
Enligt artikel 14.7 ska de behöriga myndigheter som ansvarar för onlineförfaranden på uttrycklig, frivillig, specifik, informerad och otvetydig förfrågan från användaren i fråga genom det tekniska systemet begära bevis direkt från behöriga myndigheter som utfärdar bevis i andra medlemsstater. De behöriga myndigheter som utfärdar bevis ska göra sådana bevis tillgängliga genom samma system. I artikel 14.3 anges vissa kriterier för det tekniska systemets egenskaper, och kommissionen har antagit en genomförandeförordning om utbyte av bevis för att fastställa de tekniska och operativa specifikationerna för det tekniska systemet. De behöriga myndigheternas rättsliga förpliktelse att utbyta bevis härleds i första hand från artikel 14, och kompletteras och preciseras på andra ställen i SDG-förordningen och i genomförandeförordningen om utbyte av bevis. I de ovannämnda bestämmelserna föreskrivs det också om systemanvändarens rättigheter vid utbyte av bevis. Även dataskyddsförordningen innehåller bestämmelser om användarens rättigheter.
Eftersom överföringen av uppgifter kräver en aktiv åtgärd av den sökande, med förordningens terminologi en begäran, kan det tolkas som ett författningsrättsligt samtycke till att lämna ut eller ta emot uppgifter, trots att den dataskyddsrättsliga grunden för behandlingen av uppgifter som överförs är en rättslig förpliktelse. I de utredningar som utarbetats i samband med beredningen av ärendet har samtycke dock inte ansetts vara en ändamålsenlig rättslig grund och behandlingsgrund ur ett dataskyddsperspektiv, eftersom i) ett samtycke som getts till en myndighet i princip enligt ingressen till dataskyddsförordningen inte kan anses vara giltigt, ii) det också kan ingå personuppgifter om andra än den sökande i det bevis som ska överföras, och iii) den mottagande myndigheten inte behandlar det mottagna beviset på grundval av samtycke, och dataskyddsmyndigheterna vanligen har förhållit sig avvaktande till att grunden för behandlingen ändras.
Rättsläget med avseende på dataskyddet i förhållande till myndigheterna och tjänstens användare
Det behöver också vara dataskyddsrättsligt klart vem som är personuppgiftsansvarig för uppgifter som lämnas ut, det vill säga utlämnare, och vem som är mottagare. Definitionen av personuppgiftsansvarig följer artikel 4.7 i dataskyddsförordningen, och begreppet är framför allt operativt. Dataskyddsförordningen gör det möjligt att föreskriva separat om den personuppgiftsansvarige i nationell speciallagstiftning, men det är inte nödvändigt. Omständigheter som talar för att nationella bestämmelser behövs är bland annat att det annars kan bli oklart vem som är personuppgiftsansvarig och/eller att den personuppgiftsansvarige är en myndighet. Om personuppgiftsansvaret baserar sig på rättslig reglering anses den personuppgiftsansvarige vanligen vara den som i lag utsetts för detta ändamål, det vill säga till en offentlig uppgift. Den rättsliga förpliktelsen gäller i det fallet i princip de behöriga myndigheter som avses i SDG-förordningen, som dock inte utses särskilt i förordningen utan bestäms enligt de områden och funktioner som förtecknas i bilagorna I–III. I SDG-förordningen har man medvetet valt ett dynamiskt perspektiv på behöriga myndigheter eftersom avsikten varit att kategorin behöriga myndigheter ska utvidgas i samma mån som tillämpningsområdet utvidgas.
Den personuppgiftsansvarige som är ansvarig enligt lag kan identifieras direkt med stöd av dataskyddsförordningen, och i synnerhet när det gäller de behöriga myndigheterna utgör SDG-förordningen och genomförandeförordningen om utbyte av bevis grunden för personuppgiftsansvaret. UF-centrets roll skulle dock vara tvetydigare utan kompletterande nationella bestämmelser, och skulle också kunna tolkas som gemensamt personuppgiftsansvar mellan UF-centret och de behöriga myndigheterna, vilket i sin tur skulle förutsätta en noggrann överenskommelse om ansvarsfördelningen. De ovannämnda omständigheterna talar för att UF-centrets roll i fråga om dataskyddet förtydligas genom lagstiftning.
Gränsöverskridande elektronisk identifiering
För att finska medborgare och företag ska kunna använda OOTS-systemet fullt ut behöver ett eIDAS-anmält identifieringsverktyg vara i bruk i Finland. En finsk medborgare ska kunna identifiera sig med eIDAS-identifieringsverktyget i en onlinetjänst i en annan medlemsstat. Dessutom krävs det förbättringar i identifieringen av en persons identitet för att medborgare i andra EU-eller EES-medlemsstater ska kunna identifiera sig med ett eIDAS-identifieringsverktyg i onlinetjänster i Finland. Finland har ännu inte infört ett anmält identifieringsverktyg enligt förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (nedan
eIDAS-förordningen
). Arbetet med att utveckla den digitala identiteten fortsätter i Finland som en del av det nationella genomförandet av förordning (EU) 2024/1183 om inrättande av en europeisk ram för digital identitet, och det anmälda identifieringsverktyget ska vara infört våren 2025.