sou · H3B339 · 2015-04-08 00:00:00 — Genom bestämmelserna i det sjunde kapitlet i förordningen (artik- larna 55–72) införs uttryckliga regler om tillsynsmyndigheternas samarbete över nationsgränserna. Vidare föreslås en särskild meka- nism som ska garantera att förordningen tillämpas på ett konse- kvent sätt i hela EU. För att uppnå detta syfte ska det bland annat inrättas en europeisk dataskyddsstyrelse bestående av representanter för de nationella dataskyddsmyndigheterna. Dataskyddsstyrelsen ersätter Arbetsgruppen för uppgiftsskydd, den s.k. Artikel 29- gruppen, som tillskapats enligt dataskyddsdirektivet. De nationella tillsynsmyndigheterna är skyldiga att samråda med dataskydds- styrelsen innan de vidtar någon åtgärd som kan få effekter i flera medlemsstater. Dataskyddsstyrelsen ska i sådana fall utfärda ett yttrande som den nationella tillsynsmyndigheten måste ta hänsyn till. Även kommissionen ges rätt att utfärda sådana yttranden som den nationella tillsynsmyndigheten måste beakta. Rättsmedel, ansvar och sanktioner Bestämmelserna i det åttonde kapitlet bygger på och utvecklar motsvarande reglering i dataskyddsdirektivet. I kapitlet slås fast att enskilda ska ha rätt att klaga hos en nationell tillsynsmyndighet om de anser att behandlingen av deras personuppgifter inte följt reg- leringen i förordningen (artikel 73). Den enskilde ska dessutom ges rättsmedel för att kunna få till- synsmyndigheten att agera utifrån ett klagomål som framförts till myndigheten (artikel 74). I likhet med vad som redan gäller ska den enskilde även ha rätt att väcka talan vid domstol mot en register- ansvarig. En nyhet är att rätten gäller även gentemot en register- förare (artikel 75). Om en enskild har drabbats av en skada på grund av en otillåten behandling av personuppgifter ska denne ha rätt till skadestånd från den som är ansvarig för behandlingen, den registeransvarige eller registerföraren (artikel 77). I övrigt är det medlemsstaterna som ska fastställa de sanktioner som ska komma i fråga vid överträdelser av förordningens bestämmelser. Sanktionerna måste dock vara effek- tiva, proportionerliga och avskräckande (artikel 78). En nyhet är att de nationella tillsynsmyndigheterna är skyldiga att besluta om admini- strativa sanktionsavgifter vid vissa överträdelser av förordningen. De belopp som ska dömas ut anges i förordningen och kan uppgå till , eller av ett företags globala omsätt- ning, vid de allvarligaste överträdelserna av förordningens bestäm- melser (artikel 79). Behandling av personuppgifter för vissa särskilda ändamål I det nionde kapitlet finns bestämmelser om behandling av person- uppgifter för vissa särskilda ändamål. För att skapa en balans mellan skyddet för personuppgifter och yttrandefriheten anges exempelvis att medlemsstaterna ska lagstifta om undantag från vissa av förord- ningens bestämmelser för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konst- närligt eller litterärt skapande (artikel 80). Det finns även särskilda bestämmelser som närmare reglerar behandling av uppgifter om hälsa samt behandling för statistiska, historiska eller vetenskapliga forskningsändamål (artikel 81 respektive 83). Medlemsstaterna får även lagstifta om sådan behandling av enskildas personuppgifter som har samband med anställning (artikel 82). Kommissionens rätt att utfärda delegerade akter och genomförandeakter En betydelsefull skillnad i förhållande till dataskyddsdirektivet är att kommissionen i ett stort antal bestämmelser i förordningen föreslås ges rätt att anta delegerade akter och genomförandeakter. Det handlar exempelvis om att utfärda rättsakter som närmare speci- ficerar innebörden av vissa krav som enligt förordningen ställs på behandling av uppgifter samt rätt att utfärda olika standardformu- lär och procedurregler som ska gälla vid tillämpningen av förord- ningen. Bestämmelserna i det tionde kapitlet reglerar de närmare villkoren för dessa delegerade befogenheter. Det elfte kapitlet innehåller förordningens avslutande bestämmelser. Det föreslås bland annat att kommissionen ska utvärdera förord- ningen och rapportera till ministerrådet och . För- ordningen ska enligt förslaget börja tillämpas efter att den offentliggjorts (artikel 91). I behandlas dataskyddsreformen i utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (). Rapportören för uppgiftsskyddsförordningen, , lade fram ett förslag till betänkande i decem- ber 2012 och röstade fram ett förslag. antog Europarlamentet en resolution efter en omröstning som resulterade i en mycket stark majoritet för förslaget till uppgiftsskyddsförordning, 621 ja-röster, 10 nej-röster och 22 nedlagda röster. Förslaget till direktiv för den brotts- bekämpande verksamheten antogs med 371 ja-röster, 276 nej-röster och 30 nedlagda röster. I resolutionen beträffande uppgiftsskyddsförordningen har föreslagit ett flertal ändringar och tillägg. Gene- rellt föreslår parlamentet ett betydligt snävare utrymme för kom- missionen att anta delegerade akter och genomförandeakter. , med rapportören , är även efter parlamentets resolution och EU-valet ansvarigt för uppgiftsskyddsförordningen i parlamentet. Något nytt ställnings- tagande har emellertid inte gjorts efter valet utan man avvaktar att rådet ska bli klart med sina förhandlingar. Alltsedan år 2012 har uppgiftsskyddsförordningen förhandlats i Rådet för rättsliga och inrikes frågor, . Förhandlingarna pågår fortfarande. har emellertid tre delöverenskommelser uppnåtts. Redan initialt i förhandlingarna om förordningen framkom att det tycktes föreligga relativt stor enighet inom rådet om att det finns behov av att skapa ytterligare flexibilitet för den offentliga sektorn. Detsamma gällde även för behovet av att införa en mer riskbaserad ansats. Vid ett möte i infördes efter förslag från bl.a. en särskild artikel om tillgång till all- männa handlingar. Vid träffades en överens- kommelse om partiell allmän inriktning när det gäller förordningens kapitel V, som innehåller bestämmelser om överföring av person- uppgifter till länder och internationella organisationer utanför EU och EES. Vid träffades en överenskom- melse om partiell allmän inriktning när det gäller kapitel IV, som främst innehåller bestämmelser om de personuppgiftsansvarigas skyldigheter. Vid det senaste mötet uppnåddes en överenskommelse om partiell allmän inriktning med ändringar i artiklarna 1(2)a, 6(3) och 21 och hela kapitel 9. De aktuella änd- ringarna i bestämmelserna reglerar hur förordningens regelverk förhåller sig till nationella regleringar om den offentliga sektorn och vilket utrymme medlemsstaterna ska ha att i vissa situationer och vid viss personuppgiftsbehandling anta specifika, och även i vissa fall avvikande, bestämmelser i förhållande till förordningens regelverk. Syftet med ändringarna är att skapa ytterligare flexibilitet för den offentliga sektorns behandling av personuppgifter. Vad händer nu? Den fortsatta processen med uppgiftsskyddsförordningen är alltså beroende av att förhandlingarna inom rådet kan slutföras. EU:s nuvarande ordförandeland, , har som ambition att RIF- rådet ska kunna besluta om en allmän inriktning om hela uppgiftsskyddsförordningen, dvs. rådets förslag till förord- ningstext. Det förslaget kommer sedan att vara utgångspunkten för rådets förhandlingar, trilogen, med och kom- missionen om uppgiftsskyddsförordningen. (stats- och regeringscheferna) har ställt i utsikt att man bör kunna nå fram till en överenskommelse mellan institutionerna . Ett införande av förordningen har bedömts viktigt för att förverkliga ambitionen om en ”digital inre marknad” (Digital Single Market), vilken är av pelarna i den gällande digitala agendan för EU samt också en prioriterad fråga i kommissionens arbetsprogram . Ambitionen synes således vara att lagstiftningsprocessen ska drivas med inriktning på ett slutförande och ett beslut om införande av förordningen inom en inte alltför avlägsen tid. Enligt kom- missionens förslag ska uppgiftsskyddsförordningen börja tillämpas efter offentliggörandet. någon ändring därvidlag och frågan har, såvitt framkommit, inte blivit föremål för någon delöverenskommelse inom rådet. 4Registerförfattningar – ett komplext rättsområde Vårt övergripande uppdrag är alltså att se över den s.k. register- lagstiftningen. I denna översyn ingår att göra en översiktlig inven- tering av gällande registerförfattningar. I detta kapitel redovisar vi i huvuddrag våra iakttagelser från inventeringen av registerförfatt- ningarna. Vi redogör också för några generella problem med register- författningarna, dels sådana som framförts i tidigare sammanhang, dels sådana som vi själva identifierat i vårt arbete. Kapitlet inleds med en beskrivning av framväxten av den i etablerade regleringsmodellen på persondataskyddsområdet som innebär att grundläggande regler ges i en generellt tillämplig lag och att specifika undantag eller andra särbestämmelser tas in i sådana särskilda lagar eller förordningar som kommit att kallas registerför- fattningar. Viss registerföring som är reglerad i registerförfattningar har lång historik. Lantmäteriets fastighetsregister och folkbokföring är ett par exempel på förande av förteckningar med månghundraåriga anor. Det har även förekommit författningsreg- lering av registerföring i den meningen att det i för- fattning föreskrivits att vissa register med visst innehåll ska föras och med en närmare reglering av registerverksamheten. Exempelvis har den nuvarande lagen (1998:620) om belastningsregister före- gångare i lagen om allmänt kriminalregister som i sin tur föregicks av lagen om straffregister . Registerförfattningar – ett komplext rättsområde emellertid kallas registerförfattningar har sin bakgrund i sam- hällets tilltagande datorisering senare hälft och den integritetsdebatt som följde i spåren på denna utveckling. började datoriseringens inverkan på sam- hället debatteras i många länder. Till en början handlade den svenska debatten om teknikens inverkan på offentlighetsprincipen. Det var emellertid folk- och bostadsräkning som kom att spela rollen av utlösande faktor för en allmän debatt i om auto- matisk databehandling (ADB) och dess användning för personregi- strering. Myndigheternas insamlande av uppgifter om människor och deras levnadsförhållanden ansågs öka myndigheternas makt och möjlighet att styra enskildas handlingar. Även försäljningen av personuppgifter från myndigheter till enskilda, som sedan användes för selektiv reklam, utsattes för häftig kritik. fick Offent- lighets- och sekretesslagstiftningskommittén i uppdrag att behandla frågan om lagstiftning rörande personorienterad ADB-information. Kommittén kom därmed att bli den första integritetsutredningen på dataområdet. Offentlighets- och sekretesslagstiftningskommittén bedömde att ADB-teknikens utveckling, innebärande att stora mängder infor- mation kan föras samman i en enda enhet och därur göras analyser och sammanställningar, medförde nya faror för otillbörliga intrång i den personliga integritetssfären (SOU 1972:47 s. 56 ff.). Kom- mittén framhöll att det inte bara var betydelsefullt att förhindra reella risker för otillbörliga intrång. Beaktas borde även de psyko- logiska effekterna som vetskapen om ADB-användningen med- förde med åtföljande behov hos enskilda av att kunna lita på att det privata området verkligen respekterades av myndigheter och orga- nisationer. I detta sammanhang påtalades dock att rädslan för miss- bruk av datalagrad information inte fick undanskymma det förhåll- andet att ADB-teknikens utökade användning också hade haft mycket positiva effekter, både för samhällsekonomin och för samhälls- planeringen i stort. Någon enhetlig definition av vad som avses med personlig inte- gritet fanns inte då och finns inte heller . Begreppet har upp- märksammats i flera statliga utredningar och blivit föremål för en del ingående analyser och attitydundersökningar (se bl.a. SOU 2007:22 s. 52 f. och 77 f.). Offentlighets- och sekretesslagstift- ningskommittén hänvisade som bakgrund till sina överväganden Registerförfattningar – ett komplext rättsområde om en lagstiftning rörande personorienterad ADB-information till det i amerikansk juridisk doktrin utbildade rättsliga begreppet ”privacy” (SOU 1972 s. 56 f.). Grundtanken med begreppet är att den enskilde bör ha tillgång till en fredad sektor inom vilken han eller hon kan avvisa sådan inblandning både från det allmänna och från andra som uppfattas som otillbörlig. Rätten att bli lämnad i fred kan dock aldrig vara absolut i ett samhälle. Samhällets krav på insatser från den enskilde i fråga om t.ex. arbete och skatter måste begränsa den privata sektorn. Att närmare ange innehållet i den fredade sektorn ansåg Offentlighets- och sekretesslagstiftnings- kommittén vara svårt att göra, bl.a. eftersom man måste räkna med att det som bör skyddas efterhand kommer att förskjutas. Fakta om begångna brott, sjukdomar, mottagen socialhjälp angavs som exempel på typfall av information som det är ofrånkomligt att vissa myndigheter måste registrera för att uppfylla sina arbetsuppgifter, men som ur den enskildes synpunkt upplevs som ömtålig. Även enskildas åsikter gavs som exempel på ömtålig information. Kom- mittén underströk att inte bara vilken typ av information som av- sågs var av betydelse utan även insamlande och hantering av ett stort antal i och för sig banala uppgifter kunde i samband med ADB-teknikens möjligheter medföra negativa konsekvenser för den personliga integriteten (a.a. s. 60). Spridning och fortsatt använd- ning var också av stor betydelse. Offentlighets- och sekretesslagstiftningskommittén bedömde att det fanns ett nära samband mellan anspråket på en fredad sektor och kravet från enskilda att bli bedömda efter relevanta kriterier. Om man vet att en myndighet har tillgång till omfattande infor- mation om enskildas personliga förhållanden ligger det nära till hands, menade kommittén, att misstänka att informationen utnyttjas till ställningstaganden som den inte är avsedd för. Vidare föreligger risk att ofördelaktiga uppgifter om en persons förflutna i otillbörlig grad kommer att påverka hans eller hennes möjligheter . Samhällets krav på solidaritet och ekonomisk effektivitet måste därför begränsas, bl.a. genom att övervakningen av den enskilde inte tillåts bli fullständigt effektiv (SOU 1972:47 s. 63 f.). Kommittén konstaterade att det system av befintliga skydds- regler som fanns genom bl.a. bestämmelserna om offentlighet- och sekretess och vissa straffbestämmelser, t.ex. brott mot post- och telehemlighet, var användbart mot integritetsintrång vid Registerförfattningar – ett komplext rättsområde Däremot ansågs dessa bestämmelser komma till korta gentemot den automatiska databehandlingen. Särskilda regler för att möta det nya hotet ansågs därför påkallade. För att komma till rätta med riskerna med ADB-teknikens utveckling och de därmed sammanhängande riskerna för otillbörliga intrång i den personliga integriteten avseende registrering av personuppgifter lade kommittén fram ett förslag till en datalag. Förslaget ledde till genomförandet av den numera upphävda datalagen (1973:289). Datalagens syfte var att hindra att hanteringen av ADB-förda per- sonregister medförde otillbörliga intrång i den personliga integri- teten. Registrering skulle få förekomma, men det krävdes att vissa regler iakttogs. Lagen var tillämplig inom både den offentliga och privata sektorn och byggde på ett tillståndssystem. Enligt lagens ursprungliga lydelse krävdes – med visst undantag – tillstånd av den då nyinrättade Datainspektionen för att starta eller föra ett person- register med ADB. Detta gällde register hos såväl myndigheter som privata aktörer. Tillståndskravet kom senare att i vissa fall ersättas av ett anmälningsförfarande. Utöver tillstånd förutsattes Datainspek- tionen meddela föreskrifter om registrets ändamål, vilka person- uppgifter som fick ingå samt, vid behov, föreskrifter om bl.a. in- hämtandet av personuppgifter, tillåtna ADB-bearbetningar, utläm- nande av personuppgifter, bevarande och gallring eller kontroll och säkerhet. Offentlighets- och sekretesslagstiftningskommittén hade före- slagit att Datainspektionens tillståndsprövning även skulle omfatta personregister vars inrättande beslutats av statsmakterna, dvs. av eller regeringen. I motiven till datalagen uttalade emeller- tid departementschefen att det av flera skäl torde vara nödvändigt att särbehandla vissa statliga personregister och anförde vidare följ- ande (prop. 1973:33 s. 97). För det första bör kunna besluta om inrättande av person- register för egen verksamhet eller verksamheten hos organ som är underställt . Vidare förekommer på den offentliga sek- torn personregistrering av sådan vikt från allmän och enskild synpunkt att det är nödvändigt att frågan om registrens inrättande förbehålls statsmakterna själva. Ofta ges föreskrifter för registrering i form av lag Registerförfattningar – ett komplext rättsområde eller annan författning som meddelas av och Kungl. Maj:t eller endera av dem. Exempel på register av denna typ finns bl.a. på rättsväsendets område. Från datalagens krav på tillstånd kom alltså personregister vars in- rättande beslutats av eller regeringen, s.k. statsmakts- register, att undantas (2 § datalagen, sedermera 2 a §). Enligt motiven gällde undantaget oberoende av om beslutet om registrets inrätt- ande gavs formen av lag eller annan författning eller kom till ut- tryck på annat sätt (prop. 1973:33 s. 97). Innan sådant beslut fattades skulle dock yttrande inhämtas från Datainspektionen. När Datainspektionen avgav ett sådant yttrande skulle en bedömning av registret ske enligt samma grunder som vid prövning av ett till- ståndsärende. Datainspektionen kunde även meddela föreskrifter för registret i den mån eller regeringen inte hade gjort det, t.ex. om ändamål eller bevarande och gallring. Dessutom om- fattades även statsmaktsregister av Datainspektionens tillsyn enligt datalagen. För övriga personregister som en eller statlig myn- dighet kunde inrätta krävdes tillstånd från Datainspektionen. När det gällde personregister som innehöll uppgifter om bl.a. straff- processuella eller administrativa frihetsberövanden eller någons sjukdom eller hälsotillstånd, dvs. registrering av uppgifter som be- dömdes vara av särskilt känslig natur, infördes dock särskilda restriktioner för att tillstånd till registerföringen skulle kunna med- ges annan än myndighet som enligt lag eller annan författning hade att föra förteckning över sådana uppgifter (4 § datalagen). Indirekt förutsattes alltså redan vid datalagens tillkomst att förandet av per- sonregister med särskilt integritetskänsligt innehåll hade uttryck- ligt författningsstöd. Det kan påpekas att det redan innan data- lagens tillkomst fanns författningar med enstaka bestämmelser om t.ex. gallring, inhämtande och spridande av uppgifter i register som motiverades av hänsyn till de registrerades integritet. Exempel på sådana registerförfattningar var lagen (1963:197) om allmänt krimi- nalregister och lagen (1965:94) om polisregister. I huvudsak hand- lade dock äldre registerlagar om att ett register av visst innehåll skulle föras för att tillgodose något allmännyttigt syfte eller lik- nande. Det primära målet i dessa äldre författningar var således inte att värna om integriteten. Registerförfattningar – ett komplext rättsområde Några förarbetsuttalanden från datalagens tid Även efter datalagens införande fortsatte datoranvändningen och den personliga integriteten att debatteras i samhället och nya utred- ningar tog vid efter Offentlighets- och sekretesslagstiftnings- kommittén. fick 1976 uppdraget att göra en översyn av bl.a. datalagen. I sitt delbetänkande Personregister – datorer – integritet (SOU 1978:54) behandlade kommittén bl.a. frågor om samkörning av olika personregister och användning av personnummer (s. 85–112). I detta sammanhang redogjorde kom- mittén för de risker för otillbörligt intrång i den personliga inte- griteten som kan uppkomma genom att uppgifter som ursprung- ligen samlats in för ett ändamål senare används för ett annat ända- mål. Ett sådant utnyttjande ansågs i otillbörlig grad minska den enskildes möjligheter att överblicka hur uppgifter som den enskilde själv en gång lämnat kan komma att användas. Även information som var harmlös i sig ansågs kunna innebära intrång i den enskildes integritet eftersom sammanställningar från olika register kunde leda till en kartläggning av en persons enskilda förhållanden. Likaså påtalades risken för utlämnande av den enskilde individen. Vidare framfördes farhågor om att det vid samkörning av register kunde vara svårt att kontrollera att uppgifterna var korrekta och aktuella. Därutöver aktualiserades mera abstrakta integritetsintrång, t.ex. att bara vetskapen om att de uppgifter man lämnat till en myndighet överförs mellan olika register kunde väcka obehag. konstaterade att samkörningsfrågor alltmer aktualiserades vid myndigheternas handläggning av ansök- ningar från enskilda om behovsprövade förmåner och inom skatte- administrationen (a.a. s. 108 f.). Enligt kommittén väckte det frågor om vilka metoder att kontrollera enskildas uppgifter som var accep- tabla. mellan behovet av effektiva kontroller och enskildas krav på personlig integritet medförde dock svåra avväg- ningsproblem. Hur intresseavvägningen skulle utfalla kunde dock inte en gång för alla slås fast genom en regel i datalagen. Det var snarare en fråga som måste avgöras från fall till fall grundade på politiska överväganden. Enligt kommittén var det väsentligt att be- slut om inrättandet och användandet av offentliga personregister, som gav en djupare inblick i enskilda medborgares privata förhåll- Registerförfattningar – ett komplext rättsområde anden, fattades av riksdag eller regering och inte av de myndigheter som skulle använda registren. Detta borde gälla även ifråga om användning av register för nya ändamål. Över huvud taget för- ordade kommittén att ändamålen för statliga register angavs så tyd- ligt som möjligt av riksdag eller regering samt att det skulle klar- göras att registren inte fick användas för andra ändamål utan med- givande av riksdag eller regering. Kommittén uttalade vidare följ- ande (a.a. s. 110). En metod att göra detta är att, såsom ibland redan skett, reglera registren genom lagar eller förordningar och att därvid meddela så långt möjligt uttömmande föreskrifter om användningen. Man bör alltså var för sig på ett i vart fall något sånär enhetligt sätt författningsreglera alla stat- liga register av betydelse i sammanhanget. Om det därefter uppkom- mer behov av att använda registren för andra syften än de som ur- sprungligen var aktuella får sådana behov prövas och avgöras från fall till fall enligt samma ordning. DALK [] för- ordar denna lösning. Även Data- och offentlighetskommittén behandlade i delbetänk- andet Integritetsskyddet i informationssamhället 4 (SOU 1987:31 s. 157 f.) frågor om samkörning, personnummeranvändning samt författningsreglering av personregister. I en kartläggning av person- registreringen konstaterade kommittén att register i en del fall har stöd i lag eller annan författning men att dessa ofta var föråldrade, t.ex. därför att de skapats för registerhantering, eller sak- nade mera detaljerad reglering. Vidare var det mindre vanligt med författningar som beslutats av (a.a. s. 47). Enligt kom- mittén måste målsättningen vara att personregister som är särskilt känsliga från integritetssynpunkt regleras av i syfte att stärka skyddet av enskilda registrerades integritet. Beslut om ny eller utökad personregistrering föregås då av ordentlig utredning av konsekvenserna från integritetssynpunkt, vilket är av betydelse för att en reell intresseavvägning ska kunna göras. De register som sär- skilt utpekades var register, landstingens register, kommunernas register inom och skolhälsovården samt och försäkringskassornas register.