prop · H00373 · 2013-02-27 00:00:00 — Änd- ringen medför en skärpning av reglerna, och kan även leda till att rutiner behöver ändras hos myndigheterna. anser också att det är en brist att utredningen inte tydligt redovisar vilka bestämmelser i svensk lagstiftning som kan anses uppfylla kravet i dataskyddsrambeslutet på att känsliga personuppgifter bara får behandlas om den nationella lagstift- ningen ställer upp tillräckliga skyddsåtgärder. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- ning. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning Inget behov av ändringar Artikel 6 i rambeslutet innehåller regler om hur s.k. känsliga personupp- gifter får behandlas. Som känsliga personuppgifter räknas uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Enligt artikel 6 får sådana uppgifter bara behandlas när det är absolut nödvändigt och om det i den nationella lagstiftningen tillhandahålls tillräckliga och adekvata skyddsåtgärder. Utredningen bedömer att några ändringar inte behöver göras i person- uppgiftslagen med anledning av rambeslutets bestämmelser om känsliga Utredningen föreslår däremot att regleringen i myndig- heternas registerförfattningar görs enhetlig så att det i alla registerförfatt- ningar uppställs samma krav, nämligen krav på att behandlingen ska vara absolut nödvändig för att känsliga personuppgifter ska få behandlas. I all lagstiftning om behandling av personuppgifter har behandling av känsliga personuppgifter getts en särställning. Enligt 13 § personupp- giftslagen (1998:204) är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Definitionen av vad som är känsliga personuppgifter är densamma i personuppgiftslagen som i ram- Om sådana uppgifter måste behandlas i offentlig verksamhet utan samtycke, behövs det särskilda och avvikande bestämmelser för i vilka fall detta får göras. De olika registerförfattningar som gäller för nu aktuella verksamhetsområden innehåller särskilda regler om behandling av känsliga personuppgifter. I vissa av författningarna föreskrivs att om personuppgifter om en person behandlas på annan grund så får känsliga personuppgifter behandlas om det är nödvändigt för syftet med behand- I andra registerförfattningar föreskrivs att känsliga uppgifter i motsvarande situation får behandlas endast om det är oundgängligen eller Registerförfattningarna för domstolarna anger att känsliga personuppgifter får behandlas om de behövs för handläggningen av målet eller ärendet, medan 2 kap. 10 § polisdatalagen och 2 kap. 7 § kustbevakningsdatalagen är generellt formulerade och föreskriver att känsliga personuppgifter får behandlas om det är absolut nödvändigt. Några remissinstanser, däribland och tingsrätt, ifrågasätter om inte en ändring från nödvändig till absolut nödvändig i vissa författningar innebär en skärpning. tet anser att de föreslagna ändringarna är bra eftersom de medför en en- hetlig terminologi, medan ifrågasätter om den före- slagna ändringen är nödvändig för att uppfylla kraven i rambeslutet. Som framgår av redogörelsen ovan är bestämmelserna om behandling av känsliga personuppgifter formulerade på något olika sätt i registerför- Gemensamt för dem alla är dock att de är avsedda att ge ett extra starkt skydd för känsliga personuppgifter. Den fråga som först måste besvaras är om rambeslutet kräver en ändring av befintliga be- stämmelser om känsliga personuppgifter för att artikel 6 i rambeslutet ska vara uppfylld. Regeringen anser att så inte är fallet. kräver inte att rambeslut införlivas ordagrant i nationell rätt utan enbart att ändamålet med regleringen uppfylls. använder inte exakt samma formulering som rambeslutet utan föreskriver att känsliga personuppgifter får behandlas om det är nödvändigt i stäl- let för om det är absolut nödvändigt. Även om inte rambeslutets exakta formulering används, framgår det tydligt av författningarna att behand- ling av känsliga personuppgifter aldrig får ske om det inte finns tillräck- liga sakliga skäl som gör behandlingen nödvändig i det enskilda fallet. Härtill kommer att flera av bestämmelserna i registerförfattningarna ställer upp som extra krav att behandling inte får ske enbart på grundval av känsliga personuppgifter. Enligt regeringens mening uppfyller därför svensk rätt kraven i artikel 6, en uppfattning som delas av Eftersom såväl domstolarnas som åklagarväsendets registerförfattningar är föremål för översyn finns det inte någon anledning att inom ramen för detta lagstiftningsärende genom- föra ändringar som enbart syftar till att skapa en enhetlig reglering. De av utredningen föreslagna justeringarna av vissa paragrafer som reglerar behandlingen av känsliga personuppgifter bör därför enligt regeringens mening inte genomföras. I sammanhanget bör också framhållas att har lagt fram ett förslag till dataskyddsreform som, om det antas, kom- mer att kräva en översyn av nu aktuella registerförfattningar. Även om regeringen har förståelse för universitets synpunkt att det är en fördel med ett enhetligt språkbruk i registerförfattningarna bör således den frågan lösas i ett större sammanhang. har också efterlyst en redovisning av vilka be- stämmelser i svensk lagstiftning som kan anses uppfylla dataskyddsram- beslutets krav på att känsliga personuppgifter bara får behandlas om den nationella lagstiftningen ställer upp tillräckliga skyddsåtgärder. Rege- ringen vill i detta sammanhang framhålla att kravet på tillräckliga skyddsåtgärder i den nationella lagstiftningen avser regelsystemet i stort. I en stat som saknar ett tillfredsställande regelsystem för behandling av personuppgifter ska det alltså inte vara tillåtet att behandla känsliga per- sonuppgifter, även om det i det enskilda fallet kan vara nödvändigt. har med personuppgiftslagen och de omkring 200 registerförfatt- ningarna ett väl utvecklat system för skydd av personuppgifter, där käns- liga personuppgifter har ett särskilt starkt skydd. Exempel på regler i detta system som bidrar till skydd är bl.a. regler om sökbegränsningar och åtkomstbegränsningar, krav på loggning samt gallringsregler. Användningen av begreppet ras Enligt artikel 6 räknas som känslig personuppgift bl.a. uppgifter som avslöjar ras eller etniskt ursprung. Användningen av begreppet ras i bl.a. dataskyddsförfattningar har varit föremål för diskussioner i olika sam- manhang. Enligt EU:s officiella ståndpunkt (EGT C 152, 27.05.1996, s. 57) bör begreppet ras undvikas i alla offentliga texter. Ståndpunkten har dock inte iakttagits konsekvent i de av EU antagna rättsakterna. Direktivet mot etnisk diskriminering (direktiv /43/EG av om genomförandet av principen om likabehandling av personer oavsett deras ras eller etniska ursprung) omfattar t.ex. diskrimineringsgrunderna ras och etniskt ursprung. Begreppet ras används också i artikel 21 i Euro- peiska unionens stadga om de grundläggande rättigheterna, som blev rättsligt bindande i samband med att Lissabonfördraget undertecknades. har uttalat att det inte finns någon vetenskaplig grund för att dela in människor i skilda raser och ur biologisk synpunkt följaktligen heller ingen grund för att använda ordet ras om människor. Använd- ningen av ordet ras i författningstexter riskerar enligt att underblåsa fördomar. har dock, med anledning av ett krav i en motion, konstaterat att den inte har möjlighet att besluta att ordet ska utmönstras ur all lagstiftning, eftersom det så gott som uteslutande används i författningar som grundas på internationella överenskommelser eller författningar som genomför EU-direktiv (bet. 1997/98:KU29 s. 7). 2012/13:73 förarbetena till diskrimineringslagen (2008:567) bedömde regeringen att betänkandet inte gav tillräckligt stöd för att ta bort begreppet ras ur alla författningar (prop. 2007/08:95 s. 120). Regeringen ansåg emellertid att bruket av begreppet i lagtext skulle kunna ge legitimitet åt rasistiska föreställningar och kunna befästa ras som en existerande kategori. Det ansågs därför inte önskvärt att använda begreppet i diskrimineringslagen. I propositionen En reformerad grundlag (prop. 2009/10:80) föreslog regeringen att begreppet ras skulle utmönstras ur regeringsformen. antog förslaget (bet. 2009/10:KU19, rskr. 2009/10:304.). I regeringsformen används i stället uttrycket etniskt ursprung, hudfärg eller annat liknande förhållande (2 kap. 12 och 24 §§ regeringsformen). Med annat liknande förhållande avses främst sådana föreställningar om ras som omfattades av tidigare reglering (prop. 2009/10:80 s. 152). Eftersom unionsrätten inte kräver att ett direktiv eller rambeslut inför- livas ordagrant i nationell rätt utan bara att ändamålet med regleringen uppfylls, finns det inte något hinder mot att utmönstra begreppet ras ur dataskyddsregleringen, om det ersätts med något annat begrepp som har samma innebörd. Regeringen anser dock att det inte är lämpligt att, utan särskild utredning, i detta lagstiftningsärende utmönstra ordet ras endast i vissa registerförfattningar och därmed rubba den vedertagna beskriv- ningen av känsliga personuppgifter som finns bl.a. i 13 § personupp- giftslagen. Regeringen har dock för avsikt att i ett annat sammanhang se över frågan huruvida ordet ras bör utmönstras ur all lagstiftning (jfr prop. 2011/12:45 s. 94). Regeringens bedömning: Rambeslutets bestämmelser om enskildas rätt till information kräver inte några ändringar eller kompletteringar av lagar. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte över förslaget i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- ning. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Artikel 16 i rambeslutet innehål- ler bestämmelser om den registrerades rätt till information vid person- uppgiftsbehandling rörande henne eller honom. Artikel 16.2, som regle- rar villkor om att någon information inte ska lämnas till den registrerade, behandlas i avsnitt 6.7.1. Enligt artikel 16.1 ska medlemsstaterna se till att den registrerade informeras i enlighet med nationell lagstiftning när personuppgifter samlas in eller behandlas. Av skäl 27 framgår att de närmare villkoren för den registrerades rätt att bli informerad ska fast- ställas i nationell lagstiftning. Där framgår vidare att den information som avses kan lämnas på ett generellt sätt, t.ex. genom lagstiftning eller genom offentliggörande av en förteckning över olika typer av uppgiftsbe- Enligt artikel 17 har den registrerade rätt att på begäran åtminstone få bekräftat av den registeransvarige eller den nationella tillsynsmyndig- heten om uppgifter rörande honom eller henne har överförts eller gjorts tillgängliga och i så fall till vilka mottagare eller mottagarkategorier (artikel 17.1.a), eller en bekräftelse från tillsynsmyndigheten att alla nöd- vändiga kontroller har utförts (artikel 17.1.b). I svensk rätt finns bestämmelser om rätt för den registrerade att få in- formation om personuppgiftsbehandling i 2327 §§ personuppgiftslagen, där motsvarande bestämmelser i dataskyddsdirektivet har genomförts. I nämnda bestämmelser anges när information ska lämnas självmant av den som behandlar personuppgifterna, när information ska lämnas efter ansökan av den registrerade, vilken typ av uppgifter som omfattas av informationsskyldigheten och när undantag kan göras från informations- skyldigheten. Utredningen anser att i den mån 2327 §§ personuppgiftslagen är till- lämpliga hos de berörda myndigheterna, så kräver artiklarna i rambe- slutet om information till den registrerade inte någon lagstiftningsåtgärd. Regeringen instämmer i utredningens bedömning. Artikel 16.1 motsva- ras av 2325 §§ personuppgiftslagen. Dessa paragrafer innehåller fler krav och mer detaljerade bestämmelser beträffande den personuppgifts- ansvariges skyldighet att lämna information än artikel 16.1 i rambeslutet. Artikel 17.1 i rambeslutet motsvaras av 26 § personuppgiftslagen som ställer mer långtgående krav på vilken information som ska lämnas. Om det finns särskild reglering gäller inte 24 § personuppgiftslagen, som ålägger den personuppgiftsansvarige att självmant informera den regi- strerade om behandling som sker när uppgifter har samlats in från någon annan än den registrerade. Sådan särskild reglering finns i myndigheter- nas registerförfattningar. Paragraferna 23, 25 och 26 §§ personuppgifts- lagen är tillämpliga beträffande de myndigheter som berörs av rambe- slutet, antingen genom uttryckliga hänvisningar i registerförfattningarna eller genom att de registerförfattningar som gäller utöver person- uppgiftslagen saknar motsvarande bestämmelser. Svensk rätt uppfyller därför mer än väl kraven i artikel 16.1 och 17.1 rambeslutet. Några lagstiftningsåtgärder är därför inte nödvändiga i dessa delar. Artikel 17.2 i rambeslutet, som anger för vilka syften undantag får göras från reglerna om den registrerades rätt till information, berörs inte av utredningen. Artikeln föreskriver att medlemsstaterna får anta lagstift- ning som begränsar tillgången till information enligt artikel 17.1 om be- gränsningen är nödvändig för att a)hindra obstruktion mot officiella eller rättsliga utredningar, förun- dersökningar eller förfaranden, b)inte inverka menligt på förebyggande, upptäckt, utredning och lag- föring av brott eller verkställighet av straffrättsliga påföljder, c)skydda allmän säkerhet, d)skydda nationell säkerhet, eller e)skydda den registrerades eller andra personers fri- och rättigheter. Frågan är om de regler som enligt svensk lagstiftning ger möjlighet att göra undantag från skyldigheten att informera den registrerade, är fören- liga med artikel 17.2. I 27 § personuppgiftslagen föreskrivs att 2326 §§ samma lag, som reglerar rätten till information, inte gäller om det i lag eller annan författ- 2012/13:73 ning, eller i beslut som har meddelats med stöd av författning, är före- skrivet att uppgifter inte får lämnas ut till den registrerade. I förarbetena till 27 § personuppgiftslagen sägs bl.a. att bestämmelser om sekretess och tystnadsplikt får anses vara uppställda till skydd för sådana fri- och rättigheter som avses i dataskyddsdirektivet (prop. 1997/98:44 s. 84 f.). Enligt 8 a § personuppgiftslagen, som bygger på artikel 13 i data- skyddsdirektivet, får regeringen meddela föreskrifter om undantag bl.a. från bestämmelserna om rätt till information, om det är nödvändigt med hänsyn till a)rikets säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler som gäller för lagreglerade yrken, e)åtal för brott, f)ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen, g)myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i cf, eller h)skyddet av fri- och rättigheter. Undantagsgrunderna i 8 a och 27 §§ personuppgiftslagen motsvarar i allt väsentligt de undantagsgrunder som anges i artikel 17.2 rambeslutet. Enligt regeringens mening uppfyller således svensk rätt kraven i artikeln. Utöver registerförfattningarna för de olika myndigheterna och person- uppgiftslagen, finns det ett antal författningar som innehåller särskilda bestämmelser för vissa register. Dessa är bl.a. lagen (1998:620) om be- lastningsregister och lagen (1998:621) om misstankeregister med tillhö- rande förordningar, förordningen (1997:902) om register över strafföre- läggande och förordningen (1998:903) om register över förelägganden av Även lagen (2000:344) om Schengens informationssystem kan räknas till denna kategori. Lagen om belastningsregister innehåller detaljerade bestämmelser om den enskildes rätt till information om per- sonuppgiftsbehandling i registret, som uppfyller rambeslutets bestäm- Lagen om misstankeregister innehåller också särskilda bestäm- melser om den enskildes rätt till information, men rätten till information är enligt denna författning mer begränsad än motsvarande rätt enligt Skälet till begränsningarna är att information om misstankar skulle kunna skada den brottsbekämpande verksamheten, ett skäl som överensstämmer med de i artikel 17.2 i rambeslutet angivna De övriga författningarna innehåller inga särskilda bestäm- melser om rätt till information. I stället är bestämmelserna i personupp- Som angetts tidigare bedömer regeringen att detta innebär att svensk rätt väl uppfyller kraven i rambeslutet och att det inte finns något behov av lagstiftningsåtgärder när det gäller nu aktuella för- Artikel 17.3 i rambeslutet föreskriver att en vägran att lämna informa- tion till den enskilde enligt huvudregeln ska vara skriftlig och innehålla skälen för vägran. Om vägran att lämna information grundas på något av undantagen i artikel 17 behöver några skäl inte anges. ska underrättas om möjligheten att överklaga till den nationella tillsyns- myndigheten, en rättslig myndighet eller till domstol. artikel 17.3 i rambeslutet kräver inte några lagstiftningsåtgärder. 2012/13:73 ringen återkommer i avsnitt 6.11 till rätten att överklaga en myndighets beslut om information. 6.10Skadestånd, rättelse och sanktioner Regeringens förslag: Bestämmelsen om jämkning av skadestånd i 48 § andra stycket personuppgiftslagen ska inte tillämpas på uppgifter som omfattas av den nya lagen. Utredningens förslag överensstämmer delvis med regeringens. Utred- ningen berör inte frågan om regleringen i 48 § personuppgiftslagen är förenlig med artikel 19.2 i rambeslutet. Remissinstanserna yttrar sig inte över förslaget i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens förslag. Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens förslag Enligt artikel 19.1 i rambeslutet ska var och en som lidit skada till följd av en otillåten personuppgiftsbehandling ha rätt till ersättning av den registeransvarige, eller av en annan myndighet, för den skada han eller hon har lidit. Det är inte möjligt att undgå skadeståndsansvar genom att åberopa att behandlingen avser uppgifter som har överförts från annat land och som var felaktiga redan vid överföringen. Däremot kan den skadeståndsskyldige ha rätt till regressvis ersättning från den som över- förde de felaktiga uppgifterna. Utredningen anser att artikeln inte kräver några ändringar eller tillägg i svensk rätt, med undantag för förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över före- lägganden av ordningsbot. I fråga om dessa författningar föreslår utred- ningen att de kompletteras med hänvisningar till 48 § personuppgiftsla- gen. Som stöd för bedömningen åberopar utredningen regleringen i 48 § personuppgiftslagen. I 48 § personuppgiftslagen föreskrivs att den per- sonuppgiftsansvarige ska ersätta den registrerade för skada och kränk- ning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Regeringen delar utredningens bedömning att 48 § personuppgiftslagen uppfyller kraven i artikel 19.1 i rambeslutet. Eftersom registerförfattning- arna för de myndigheter som är berörda av dataskyddsrambeslutet inne- håller hänvisningar till personuppgiftslagens skadeståndsbestämmelser uppfyller svensk lagstiftning rambeslutets krav i denna del. Förordningen om register över strafförelägganden och förordningen om register över förelägganden av ordningsbot, som saknar hänvisningar till personupp- giftslagens bestämmelse om skadestånd, bör som utredningen föreslår 2012/13:73 kompletteras med sådana hänvisningar. Regeringen avser att vidta dessa förordningsändringar. Enligt 48 § andra stycket personuppgiftslagen kan ersättningsskyldig- heten jämkas i den utsträckning det är skäligt, om den personuppgiftsan- svarige visar att felet inte berodde på honom eller henne. Någon motsva- rande möjlighet till jämkning av uppkommen skadeståndsskyldighet finns inte enligt dataskyddsrambeslutet. Tvärtom anges i artikel 19.2 att det inte går att undkomma skadeståndsansvar genom att åberopa att felet fanns redan när uppgiften i fråga överfördes. Frågan om jämkningsregeln i 48 § andra stycket personuppgiftslagen är förenlig med rambeslutet diskuterades i propositionen om godkännande av dataskyddsrambeslutet. Där sägs bl.a. att den omständigheten att en myndighet har möjlighet att göra gällande regressansvar mot en utländsk myndighet regelmässigt torde medföra att jämkning inte kommer i fråga (prop. 2008/09:16 s. 56). I propositionen framhölls dock att frågan om den svenska regleringen är förenlig med rambeslutet borde utredas närmare. Utredningen anser utan någon närmare analys att det inte finns skäl att ändra reglerna om jämkning av skadestånd. Regeringen anser att jämkningsmöjligheten i 48 § andra stycket per- sonuppgiftslagen inte är förenlig med artikel 19.2 i rambeslutet. Mot den bakgrunden bör det i den nya lagen föreskrivas att 48 § andra stycket personuppgiftslagen inte gäller för uppgifter som har överförts vid sådant polisiärt eller straffrättsligt samarbete som rambeslutet omfattar. En hänvisning till den bestämmelsen bör införas i lagen (1998:620) om belastningsregister, eftersom avvikande regler i den lagen har företräde framför den nya lagen. Det andra ledet i artikel 19.2 i rambeslutet reglerar möjligheten till regressrätt mellan stater när skadeståndsansvar har uppkommit på grund av en uppgift som var felaktig redan vid överföringen från en annan stat. Regeringen framhöll i propositionen om godkännande av dataskyddsram- beslutet att staternas regressanspråk är att se som ett folkrättsligt åta- gande som inte kräver några lagstiftningsåtgärder, men att det kan finnas anledning att i ett lämpligt sammanhang överväga en reglering av for- merna för handläggningen av sådana regresskrav. Utredningen lämnar inget förslag i frågan under hänvisning till att den bör ses över i ett större sammanhang. Regeringen instämmer i utredningens bedömning. Regeringens bedömning: Rambeslutets bestämmelser om rättelse kräver inga lagändringar. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte över betänkandet i denna del. Utkastet till lagrådsremiss överensstämmer med regeringens bedöm- Remissinstanserna yttrar sig inte över utkastet till lagrådsremiss i denna del. Skälen för regeringens bedömning: Artikel 4 i rambeslutet föreskri- ver som huvudregel att personuppgifter ska rättas om de är felaktiga och raderas eller avidentifieras när de inte längre behövs. I stället för att rade- ra personuppgifterna ska dessa blockeras om det finns skälig grund att anta att en radering skulle kunna påverka den registrerades legitima in- tressen. När det gäller personuppgifter som ingår i ett domstolsbeslut eller akten i samband med utfärdande av ett rättsligt beslut görs i arti- kel 4.4 undantag från dessa regler. Då ska i stället rättelse, radering eller blockering ske i enlighet med de nationella reglerna om rättsliga förfa- randen. I artikel 8 föreskrivs att de behöriga myndigheterna ska vidta alla rimliga åtgärder för att se till att personuppgifter som är felaktiga, ofull- ständiga eller inaktuella inte överförs eller görs tillgängliga. Om det visar sig att felaktiga uppgifter har överförts eller att uppgifter har överförts olovligen ska mottagaren underrättas om detta. Enligt arti- kel 18 ska medlemsstaterna fastställa hur den registrerade ska kunna göra anspråk på rätten till rättelse, kontroll av kvaliteten och gallring. Utredningen anser att artiklarna 4, 8 och 18 inte kräver några ändringar eller tillägg i svensk rätt. Regeringen delar i huvudsak denna bedömning.