bet · GZ01KU25 · 2012-03-22 00:00:00 — 2011/12:KU25 EU-förslag om allmän uppgiftsskyddsförordning EU-förslag om allmän uppgiftsskyddsförordning Utskottet prövar i detta utlåtande kommissionens förslag till förordning om skydd för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), KOM(2012) 11 slutlig. Enligt utskottets uppfattning är förslaget i dess nuvarande skick inte förenligt med subsidiaritetsprincipen. Utskottet föreslår därför att beslutar att lämna ett motiverat yttrande till , rådets och kommissionens ordförande i enlighet med 10 kap. 6 § riksdagsordningen. Utskottets förslag till riksdagsbeslut Subsidiaritetsprövning av förslag till allmän uppgiftsskyddsförordning beslutar att lämna ett motiverat yttrande till , rådets och kommissionens ordförande med den lydelse som anges i bilaga 2. Följande ledamöter har deltagit i beslutet: (MP), (S), (M), i (S), (M), (M), (S), (FP), (S), (C), (S), Skånberg (KD), (SD), (V), (M), (S) och (M). Ärendet och dess beredning har getts möjlighet att lämna ett motiverat yttrande över kommissionens förslag till allmän uppgiftsskyddsförordning (KOM(2012)11). Kammaren hänvisade ärendet till . Fristen för att avge ett motiverat yttrande går ut . överlämnades en faktapromemoria (2011/12:FPM117) till , som återger regeringens preliminära bedömning av subsidiaritetsprincipens tillämpning avseende den föreslagna rättsakten. Därutöver har regeringen lämnat information dels om reformförslaget i allmänhet vid ett sammanträde , dels om vissa preliminära bedömningar av hur förslaget förhåller sig till proportionalitetsprincipen vid ett sammanträde . har yttrat sig i ärendet, se bilaga 3. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) har till syfte att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. Medlemsstaterna får inom en ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Kommissionen har i sin rapport samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM(2010) 609) gjort en utredning av frågan om EU:s nuvarande bestämmelser om skydd av personuppgifter fortfarande räcker till för att på ett effektivt sätt hantera de utmaningar som ligger i dagens teknik, globaliseringen, behovet av ett mer enhetligt skydd för personuppgifter m.m. Kommissionens förslag till allmän uppgiftsskyddsförordning bygger på och vidareutvecklar dataskyddsdirektivet. Förslaget innebär på ett generellt plan att regleringen ges formen av en förordning som är direkt tillämplig i medlemsstaterna. Enligt förordningen ska medlemsstaterna i vissa delar anta nationella bestämmelser, det gäller t.ex. reglering av nationella tillsynsmyndigheter och påföljder för överträdelser av bestämmelserna i förordningen. I andra delar preciseras förordningens bestämmelser av delegerade akter respektive fastställs vissa standarder i genomförandeakter som kommissionen ska besluta om. Vidare finns det i förordningsförslaget vissa sakliga förändringar i förhållande till dataskyddsdirektivet. Som exempel kan nämnas att samtycke till behandling av personuppgifter enligt förordningsförslaget ska vara uttryckligt, och att det införs en rätt att bli bortglömd och till radering som är vidare än direktivets bestämmelser om rättelse och radering. Vidare föreslås att anmälningsskyldigheten, utom vid personuppgiftsbehandling som innebär särskilda risker, ersätts av en skyldighet att föra och bevara dokumentation om den behandling som sker. Det föreslås att de nationella tillsynsmyndigheterna i förordningen ges befogenhet att besluta om administrativa sanktioner vid uppsåtlig eller oaktsam underlåtenhet att följa förordningen. Vidare föreslås ett system med ömsesidigt bistånd mellan nationella tillsynsmyndigheter och en mekanism för enhetlighet. Slutligen kan nämnas att förordningsförslaget innehåller detaljerade bestämmelser om rättsmedel och gemensamma bestämmelser om domstolsförfaranden. Subsidiaritetsprincipen regleras i artikel 5 i fördraget om Europeiska unionen. Enligt denna artikel ska unionen, på de områden där den inte har exklusiv befogenhet, vidta en åtgärd endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. Enligt Lissabonfördragets protokoll om tillämpningen av subsidiaritets- och proportionalitetsprinciperna ska Europeiska kommissionen, och rådet översända sina utkast till lagstiftningsakter till de nationella parlamenten för att dessa ska kunna ta ställning till om förslaget är förenligt med subsidiaritetsprincipen. ska i enlighet med 10 kap. 6 § riksdagsordningen pröva om lagstiftningsakten strider mot den nyssnämnda principen. Om det nationella parlamentet anser att förslaget inte är förenligt med den aktuella principen har det rätt att lämna ett s.k. motiverat yttrande till , rådets och kommissionens ordförande. Ett sådant yttrande ska lämnas från den dag då ett förslag finns på EU:s samtliga officiella språk. Subsidiaritetsprincipens tillämpning i detta ärende Kommissionen anger att det är nödvändigt att vidta åtgärder på EU-nivå av följande skäl: Rätten till skydd av personuppgifter, som fastläggs i artikel 8 i stadgan om de grundläggande rättigheterna, innebär att samma nivå på uppgiftsskyddet ska gälla i hela unionen. Avsaknaden av gemensamma EU-bestämmelser skulle kunna leda till olika skyddsnivåer i medlemsstaterna och till begränsningar av de gränsöverskridande flödena av personuppgifter mellan medlemsstater med olika standarder. Personuppgifter överförs i snabbt ökande omfattning över nationsgränserna, både EU:s inre och yttre gränser. Dessutom finns det praktiska problem med genomförandet av uppgiftsskyddslagstiftningen och ett behov av samarbete mellan medlemsstaterna och deras myndigheter, vilket måste organiseras på EU-nivå för att säkerställa att unionsrätten tillämpas enhetligt. EU har också de bästa förutsättningarna att på ett ändamålsenligt och enhetligt sätt garantera samma skyddsnivå för enskilda när deras personuppgifter överförs till tredjeländer. Medlemsstaterna kan inte ensamma minska problemen i den nuvarande situationen, särskilt inte de problem som beror på fragmenteringen av de nationella lagstiftningarna. Det finns därför ett särskilt behov av att införa en harmoniserad och sammanhängande ram som möjliggör en smidig överföring av personuppgifter över gränserna inom EU, som man garanterar ett faktiskt skydd av alla enskilda i hela EU. De föreslagna lagstiftningsåtgärderna på EU-nivå kommer att vara effektivare än liknande åtgärder på medlemsstatsnivå på grund av karaktären och omfattningen hos problemen, som inte är begränsade till en eller flera medlemsstater. Regeringen har i en faktapromemoria (2011/12:FPM117) pekat på att det inom dataskyddsområdet har funnits en reglering på EU-nivå genom dataskyddsdirektivet. Ett starkt skydd av personuppgifter inom EU är av stor vikt för ett fritt flöde av personuppgifter och därmed för en välfungerande inre marknad. Rätten till skydd av personuppgifter har även fått status som en självständig grundläggande rättighet i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Regeringen har mot den bakgrunden inte funnit skäl att göra någon annan bedömning än den kommissionen har gjort vad gäller förslagets förenlighet med subsidiaritetsprincipen. Enligt samma faktapromemoria analyserar regeringen hur förslaget förhåller sig till proportionalitetsprincipen. har yttrat sig till i ärendet. instämmer i vad som konstaterades i en förklaring fogad till slutakten från den regeringskonferens som antog fördraget att det kan behövas särskilda regler om skydd av personuppgifter och om fri rörlighet för sådana uppgifter på områdena för straffrättsligt samarbete och polissamarbete på grund av de särskilda förhållanden som gäller på dessa områden och betonar vikten av att det fortsatt tas hänsyn till att samarbetet inom detta område är av särskild karaktär. Den verksamhet som medlemsländernas rättsliga och polisiära myndigheter bedriver är känslig. Därför behövs en särreglering av dessa myndigheters behandling av personuppgifter som tar hänsyn till verksamhetens känsliga natur. Utskottet förutsätter därför att det brottsbekämpande områdets särdrag och behov av särreglering respekteras i den allmänna uppgiftsskyddsförordningen. Utskottet vill inledningsvis framhålla sin uppskattning av kommissionens arbete med att gå igenom det befintliga regelverket inom unionen för personuppgiftsskydd och undersöka olika möjligheter att förbättra detta. Som utskottet uttalat tidigare (2008/09:KU7y s. 11 f.) måste rätten till respekt för privatlivet garanteras oberoende av nationsgränser, särskilt i fråga om personuppgifter, och det behövs ett heltäckande och effektivt system för skydd av personuppgifter i EU. Utskottet vill även betona att den brottsbekämpande verksamhet som medlemsstaternas rättsliga och polisiära myndigheter bedriver är känslig och att det därför behövs en särreglering i ett direktiv av dessa myndigheters behandling av personuppgifter som tar hänsyn till verksamhetens känsliga natur. Vidare är det utskottets uppfattning att målet med ett effektivt system för skydd av personuppgifter i EU generellt sett uppnås bättre genom att åtgärder företas på unionsnivå än genom åtgärder av medlemsstaterna, och att en åtgärd på gemenskapsnivå på grund av sin omfattning och sina verkningar generellt sett innebär klara fördelar jämfört med en åtgärd på medlemsstatsnivå. Med detta sagt vill utskottet peka på uttrycket endast om och i den mån i artikel 5 i fördraget om Europeiska unionen. Enligt denna artikel ska unionen, på de områden där den inte har exklusiv kompetens, vidta en åtgärd endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. Enligt vad utskottet tidigare uttalat (bet. 2010/11:KU18 s. 9 f.) får det av orden endast om och i den mån anses framgå att subsidiaritetsprövningen innefattar ett proportionalitetskriterium och att det därav följer att den föreslagna åtgärden inte får gå utöver vad som är nödvändigt för att uppnå de eftersträvade målen. Härvid har utskottet berört bl.a. en dom från 20021[ dom av i mål C-491/01 (Investments) Ltd och , 2002, s. där (numera ) när det gällde huruvida ett direktiv hade antagits med iakttagande av subsidiaritetsprincipen, efter att först ha funnit att målet för den planerade åtgärden bättre kunde uppnås på gemenskapsnivå, anfört följande. Det skall för det andra konstateras att omfattningen av den åtgärd som vidtagits av gemenskapen i det förevarande fallet även uppfyller kraven enligt subsidiaritetsprincipen genom att den, vilket framgår av punkterna 122141 i förevarande dom, inte går längre än vad som är nödvändigt för att uppnå de eftersträvade målen. Utskottet gör mot denna bakgrund en prövning av om kommissionens val av lagstiftningsinstrument för den föreslagna åtgärden, en förordning, går längre än vad som är nödvändigt för att uppnå de eftersträvade målen. Därvid beaktar utskottet särskilt att ett nytt direktiv, i stället för en förordning, typiskt sett skulle ge större utrymme för medlemsstaterna att vid införlivandet ta hänsyn till nationella förhållanden, t.ex. vad gäller olika myndighets- och hanteringsstrukturer i skilda medlemsstater. Vidare är inte minst regleringen om nationella tillsynsmyndigheter och om administrativa sanktionsavgifter, som förslaget nu föreligger, onödigt detaljerad för att uppnå de eftersträvade målen och den lämnar för lite utrymme för hänsynstaganden till medlemsstaternas nationella förhållanden. Som ett exempel vill utskottet peka på att den föreslagna regleringen av tillsättning av de nationella tillsynsmyndigheternas ledamöter och vilken kompetens dessa ska besitta inte kan anses nödvändig för att uppnå en mer enhetlig tillämpning av ett regelverk om skydd för personuppgifter. En mer enhetlig tillämpning skulle enligt utskottet kunna uppnås genom ett nytt direktiv som fokuserar på de områden där det finns brister. skulle en sådan lösning lämna större utrymme för medlemsstaterna att vid införlivandet av regelverket ta hänsyn till nationella förhållanden. Den omfattning i vilken kommissionen föreslås få befogenhet att anta delegerade akter framstår som olämplig, bl.a. då förslaget innebär att kommissionen ges en lagstiftande roll där kommissionen på ett oförutsebart sätt kan komma att påverka förordningens framtida utformning och innehåll på sätt som i många avseenden normalt bör ligga på lagstiftare eller domstol. Det kan också ifrågasättas om en så pass omfattande, detaljerad och komplicerad reglering som den föreslagna förordningen, med inslag av delegerade akter som antas av kommissionen och av nationella föreskrifter, gagnar reglernas nationella genomslag. Av det sagda följer att en reglering i direktivform torde innebära att åtgärden utformas på ett så enkelt sätt som möjligt, som målet för åtgärden uppnås på ett tillfredsställande sätt och behovet av effektiv verkställighet tillgodoses. Således är det utskottets uppfattning att en reglering av personuppgiftsskyddet och det fria flödet av personuppgifter i en förordning med det innehåll som föreslås skulle gå längre än vad som är nödvändigt för att uppnå de eftersträvade målen och därmed inte är förenligt med subsidiaritetsprincipen. Förteckning över behandlade förslag KOM(2012) 11 slutlig Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). Motiverat yttrande från riksdag Inledningsvis vill framhålla sin uppskattning av kommissionens arbete med att gå igenom det befintliga regelverket inom unionen för personuppgiftsskydd och undersöka olika möjligheter att förbättra detta. vill framhålla att rätten till respekt för privatlivet måste garanteras oberoende av nationsgränser, särskilt i fråga om personuppgifter, och det behövs ett heltäckande och effektivt system för skydd av personuppgifter i EU. vill även betona att den brottsbekämpande verksamhet som medlemsstaternas rättsliga och polisiära myndigheter bedriver är känslig och att det därför behövs en särreglering i ett direktiv av dessa myndigheters behandling av personuppgifter som tar hänsyn till verksamhetens känsliga natur. Vidare är det uppfattning att målet med ett effektivt system för skydd av personuppgifter i EU generellt sett uppnås bättre genom att åtgärder företas på unionsnivå än genom åtgärder av medlemsstaterna, och att en åtgärd på gemenskapsnivå på grund av sin omfattning och sina verkningar generellt sett innebär klara fördelar jämfört med en åtgärd på medlemsstatsnivå. Med detta sagt vill peka på uttrycket endast om och i den mån i artikel 5 i fördraget om Europeiska unionen. Enligt denna artikel ska unionen, på de områden där den inte har exklusiv kompetens, vidta en åtgärd endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. Enligt får det av orden endast om och i den mån anses framgå att subsidiaritetsprövningen innefattar ett proportionalitetskriterium och att det därav följer att den föreslagna åtgärden inte får gå utöver vad som är nödvändigt för att uppnå de eftersträvade målen. I en dom från 20021[ dom av i mål C-491/01 (Investments) Ltd och , 2002, s. har (numera ) när det gällde huruvida ett direktiv hade antagits med iakttagande av subsidiaritetsprincipen, efter att först ha funnit att målet för den planerade åtgärden bättre kunde uppnås på gemenskapsnivå, anfört följande. Det skall för det andra konstateras att omfattningen av den åtgärd som vidtagits av gemenskapen i det förevarande fallet även uppfyller kraven enligt subsidiaritetsprincipen genom att den, vilket framgår av punkterna 122141 i förevarande dom, inte går längre än vad som är nödvändigt för att uppnå de eftersträvade målen. gör mot denna bakgrund en prövning av om kommissionens val av lagstiftningsinstrument för den föreslagna åtgärden, en förordning, går längre än vad som är nödvändigt för att uppnå de eftersträvade målen. Därvid beaktar särskilt att ett nytt direktiv, i stället för en förordning, typiskt sett skulle ge större utrymme för medlemsstaterna att vid införlivandet ta hänsyn till nationella förhållanden, t.ex. vad gäller olika myndighets- och hanteringsstrukturer i skilda medlemsstater. Vidare är inte minst regleringen om nationella tillsynsmyndigheter och om administrativa sanktionsavgifter, som förslaget nu föreligger, onödigt detaljerad för att uppnå de eftersträvade målen och den lämnar för lite utrymme för hänsynstaganden till medlemsstaternas nationella förhållanden. Som ett exempel kan noteras att den föreslagna regleringen av tillsättning av de nationella tillsynsmyndigheternas ledamöter och vilken kompetens dessa ska besitta enligt mening inte kan anses nödvändig för att uppnå en mer enhetlig tillämpning av ett regelverk om skydd för personuppgifter. En mer enhetlig tillämpning skulle enligt kunna uppnås genom ett nytt direktiv som fokuserar på de områden där det finns brister. skulle en sådan lösning lämna större utrymme för medlemsstaterna att vid införlivandet av regelverket ta hänsyn till nationella förhållanden. Den omfattning i vilken kommissionen föreslås få befogenhet att anta delegerade akter framstår som olämplig, bl.a. då förslaget innebär att kommissionen ges en lagstiftande roll där kommissionen på ett oförutsebart sätt kan komma att påverka förordningens framtida utformning och innehåll på sätt som i många avseenden normalt bör ligga på lagstiftare eller domstol. Det kan också ifrågasättas om en så pass omfattande, detaljerad och komplicerad reglering som den föreslagna förordningen, med inslag av delegerade akter som antas av kommissionen och av nationella föreskrifter, gagnar reglernas nationella genomslag. Av det sagda följer att en reglering i direktivform torde innebära att åtgärden utformas på ett så enkelt sätt som möjligt, som målet för åtgärden uppnås på ett tillfredsställande sätt och behovet av effektiv verkställighet tillgodoses. Således är det uppfattning att en reglering av personuppgiftsskyddet och det fria flödet av personuppgifter i en förordning med det innehåll som föreslås skulle gå längre än vad som är nödvändigt för att uppnå de eftersträvade målen och därmed inte är förenligt med subsidiaritetsprincipen. EU-förslag om allmän uppgiftsskyddsförordning beslutade att bereda justitieutskottet tillfälle att yttra sig över förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), KOM(2012) 11, vad gäller frågan om förslagets förenlighet med subsidiaritetsprincipen i de delar som berör justitieutskottets beredningsområde. Förslaget till allmän uppgiftsskyddsförordning ingår som ett av två lagstiftningsförslag i kommissionens reform av EU:s dataskyddslagstiftning. ansvarar för det andra förslaget som avser ett direktiv om skydd av personuppgifter på det brottsbekämpande området. Med anledning av att förslagen tillsammans ska utgöra en ram för uppgiftsskyddet i EU har justitieutskottet valt att lämna ett yttrande till vad gäller förslaget till allmän uppgiftsskyddsförordning. betonar det polisiära och straffrättsliga områdets speciella karaktär och behovet av en särreglering vad gäller behandling av uppgifter inom de polisiära och rättsliga myndigheternas verksamhet. Utskottet förutsätter att det brottsbekämpande områdets särdrag och behov av särreglering respekteras i den allmänna uppgiftsskyddsförordningen. antog EU ett direktiv om skydd av personuppgifter som gäller för all behandling av uppgifter inom sådan verksamhet som omfattas av gemenskapsrätten, det s.k. dataskyddsdirektivet (95/46/EG). Som ett komplement till detta regelverk antog rådet 2008 bl.a. ett rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, det s.k. dataskyddsrambeslutet (2008/977/RIF). presenterade två lagförslag som ska uppdatera : dels ett förslag till förordning om en allmän ram för dataskydd i EU (allmän uppgiftsskyddsförordning) som ska ersätta dataskyddsdirektivet , dels ett förslag till direktiv om dataskydd på det brottsbekämpande området som upphäver rådets rambeslut . Förslaget till förordning bygger på dataskyddsdirektivet men innehåller även flera nyheter i förhållande till direktivet. En av nyheterna rör valet av rättsakt; genom att i stället samla reglerna i en förordning vill kommissionen åstadkomma en mer enhetlig tillämpning av i medlemsländerna. Förslaget till förordning innehåller allmänna regler om uppgiftsskydd i EU. Förordningen innehåller principer för när och hur behandling av personuppgifter får ske, registrerades rättigheter, registeransvarigas och registerförares skyldigheter, förutsättningar för att överföra uppgifter till länder eller organisationer utanför EU, regler för tillsyn och de nationella tillsynsmyndigheterna befogenheter. Vidare finns ett avsnitt om rättsmedel, ansvar och sanktioner samt bestämmelser om behandling av personuppgifter för vissa särskilda ändamål. Förordningen ska tillämpas på personuppgiftsbehandling som utförs av en personuppgiftsansvarig som är etablerad i EU. Den ska även tillämpas på behandling som rör en person som är bosatt i och som utförs av en registeransvarig som inte är etablerad i EU, om behandlingen har anknytning till utbjudande av varor eller tjänster till personen eller övervakning av personens beteende. Förordningen ska inte tillämpas på behandling av personuppgifter inom en verksamhet som inte omfattas av , särskilt det som rör den nationella säkerheten. Behandling av personuppgifter inom det brottsbekämpande området eller den behandling en fysisk person utför utan vinstintresse som ett led i verksamhet av rent privat natur omfattas inte heller av förordningen. Genom Lissabonfördragets ikraftträdande fick EU rätt att besluta om skydd av personuppgifter inom samtliga , dvs. även inom det straffrättsliga och polisiära samarbetet. konstaterades det, i en förklaring fogad till slutakten från den regeringskonferens som antog fördraget, att det kan behövas särskilda regler om skydd av personuppgifter och om fri rörlighet för sådana uppgifter på områdena för straffrättsligt samarbete och polissamarbete på grund av de särskilda förhållanden som gäller på dessa områden. Utskottet instämmer i detta och betonar vikten av att det fortsatt tas hänsyn till att samarbetet inom detta område är av särskild karaktär. Den verksamhet som medlemsländernas rättsliga och polisiära myndigheter bedriver är känslig. Därför behövs en särreglering av dessa myndigheters behandling av personuppgifter som tar hänsyn till verksamhetens känsliga natur. Utskottet förutsätter därför att det brottsbekämpande områdets särdrag och behov av särreglering respekteras i den allmänna uppgiftsskyddsförordningen. När det gäller förslagets förenlighet med subsidiaritetsprincipen har justitieutskottet, utifrån de aspekter som utskottet ska beakta, inget ytterligare att anföra än vad som följer av ovanstående.