sou · H5B397 · 2017-12-08 00:00:00 — har i sitt förslag till dataskyddslag före- slagit att tillsynsmyndighetens befogenheter enligt dataskyddsförord- ningen ska gälla även vid myndighetens tillsyn över att de be- stämmelser som kompletterar förordningen följs (SOU 2017:39 s. 377). I enlighet härmed anges i 6 kap. 1 § i den föreslagna data- skyddslagen att de befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2 och 58.3 i dataskyddsförordningen även gäl- ler vid tillsyn över efterlevnaden av bestämmelserna i lagen och andra författningar som kompletterar dataskyddsförordningen. Bestämmelsen saknar direkt motsvarighet i personuppgiftslagen men fyller i sak samma funktion som 2 a § andra stycket förord- ningen (2007:975) med instruktion för Datainspektionen. Bestäm- melsen innebär att de tillsynsåtgärder som tillsynsmyndigheten kan vidta vid överträdelser av förordningen också kan vidtas vid över- trädelser av bestämmelser i svensk rätt som kompletterar förord- ningen. Detta gäller oavsett om dessa kompletterande bestäm- melser om behandling av personuppgifter finns i dataskyddslagen eller i sektorsspecifika författningar. föreslår att det i 6 kap. 2–4 §§ förslaget till dataskyddslag regleras vissa ytterligare frågor som rör tillsyns- myndighetens handläggning och beslut. I korthet innebär förslagen att innan tillsynsmyndigheten fattar vissa ingripande beslut ska den som beslutet gäller ha fått tillfälle att yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt. Om saken är brådskande kan dock ett tillfälligt beslut fattas, i avvaktan på yttrandet (6 kap. 3 §). Bestämmelsen reglerar tillsynsmyndig- hetens kommunikationsplikt och motsvarar således delvis 46 § första stycket personuppgiftslagen (a.a. s. 379). Bestämmelsen gäller sådana beslut som tillsynsmyndigheten meddelar med stöd av de korri- gerande befogenheter som föreskrivs i artikel 58.2 i förordningen, oavsett om mottagaren är en enskild eller en myndighet. Avseende andra slags beslut gäller förvaltningslagens allmänna bestämmelser om kommuniceringsskyldighet. Kravet på kommunikation omfattar enbart sådant material som utgör underlag för beslutet, inte varje uppgift som har tillförts ärendet utifrån. Sådant material som helt saknar relevans för ett beslut i ett ärende omfattas alltså inte av kravet på kommunikation. Med material av betydelse avses sådana omständigheter eller uppgifter i materialet som påverkar tillsyns- myndighetens ställningstagande i den fråga som beslutet gäller. Vissa ingripande beslut ska delges, om det inte är uppenbart obe- hövligt. Vissa former av stämningsmannadelgivning ska få användas bara om det finns särskild anledning att anta att mottagaren har avvikit eller på annat sätt håller sig undan (6 kap. 4 §). Bestäm- melsen motsvarar delvis 46 § andra stycket personuppgiftslagen. Om det finns skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av förordningen, ska tillsynsmyndig- heten få ansöka hos förvaltningsrätten om att en tillsynsåtgärd ska vidtas, i stället för att själv besluta om åtgärden (6 kap. 2 §). Bestäm- melsen avser tillsynsmyndighetens möjlighet att anhängiggöra ett mål i domstol om behandling av personuppgifter och saknar motsvarighet i personuppgiftslagen. Enligt artikel i dataskyddsförordningen får tillsynsmyn- digheten bl.a. förelägga en personuppgiftsansvarig om att uppgifter ska raderas om personuppgifterna är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats eller om personuppgifterna har behandlats på ett olagligt sätt (se även artikel 17). Enligt 47 § personuppgiftslagen får beslut om utplåning endast fattas av förvaltningsrätten, på ansökan av tillsynsmyndig- heten. Enligt är ett föreläggande om rader- ing av personuppgifter dels en mycket ingripande åtgärd, dels i vissa fall otillåten i det allmännas verksamhet om tillämplig gall- ringsföreskrift saknas. Utredningen anser dock att detta inte utgör något skäl för att frångå principen om att prövningen av om åtgärd ska vidtas ska göras av tillsynsmyndigheten som första instans. Mot denna bakgrund samt med beaktande av att tillsynsmyndighetens förelägganden kan överklagas, saknas det enligt utredningens be- dömning skäl att föreskriva en särskild ordning, såsom krav på för- handstillstånd eller beslut av domstol, när tillsynsmyndigheten utövar sin befogenhet enligt artikel att förelägga om radering av personuppgifter (a.a. s. 317). 9.13.3Våra överväganden och förslag Utredningens förslag: får inte förbjuda att behandla personuppgifter om total- försvarspliktiga eller annan personal inom totalförsvaret. Arti- kel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskydds- lagen ska i denna del inte gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. En sådan bestämmelse ska därför föras in i lagen. I övrigt ska bestämmelserna om tillsynsmyndighetens befogen- heter i dataskyddsförordningen (artikel 58) och den föreslagna dataskyddslagen (6 kap. 1 §) tillämpas vid Rekryteringsmyndig- hetens behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Enligt gällande rätt finns det ingen möjlighet för Datainspek- tionen att förbjuda behandling av per- sonuppgifter om totalförsvarspliktiga (se 17 § pliktregisterlagen). Motsvarande skäl som anfördes vid bestämmelsen införande gör sig alltjämt gällande. behandling av person- uppgifter om totalförsvarspliktiga är nödvändig för att totalför- svarets personalförsörjning ska upprätthållas och det är varken rimligt eller lämpligt att införa en möjlighet att förbjuda sådan behandling. De korrigerande befogenheter i form av bl.a. varningar, reprimander och förelägganden som Datainspektionen innehar enligt artikel 58.2 i dataskyddsförordningen, är enligt vår bedömning fullt tillräckliga för att säkerställa en rättssäker behandling och handläggning av per- sonuppgifterna. Därtill finns andra skyddsåtgärder i form av kravet på effektiva rättsmedel enligt förordningen samt de i förvaltningslagen uppställda kraven på god förvaltning (partsinsyn, kommunikations- skyldighet etc.). Det saknas därför enligt vår bedömning skäl att frångå nuvarande ordning. behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret bör således undantas från tillsynsmyndighetens befo- genhet enligt artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskyddslagen att förbjuda behandling. En sådan bestämmelse ska därför föras in i den nya lagen. Det innebär att tillsyns- myndigheten inte med omedelbar verkan kan besluta om att införa vare sig en tillfällig eller definitiv begränsning, dvs. ett förbud, mot behandling av personuppgifter. I övrigt ska bestämmelserna om tillsynsmyndighetens befogenheter i data- skyddsförordningen (artikel 58) och den föreslagna dataskydds- lagen (6 kap. 1 §) tillämpas vid behand- ling av personuppgifter om totalförsvarspliktiga och annan perso- nal inom totalförsvaret. Vi vill dock i detta sammanhang särskilt erinra om att data- skyddsförordningens bestämmelser endast gäller i ”tillämpliga delar” vid personuppgiftsbehandling som utförs som ett led i en verksam- het som inte omfattas av unionsrätten (jfr 1 kap. 2 § dataskydds- lagen). Kapitel VII (Samarbete och enhetlighet) och kapitel X (Dele- gerade akter och genomförandeakter) i förordningen kan exempelvis inte bedömas utgöra ”tillämpliga delar”. Förordningens bestäm- melser om tillsynsmyndigheternas skyldighet att samarbeta med varandra är alltså inte tillämpliga. Detta innebär att Datainspek- tionen, i egenskap av svensk tillsynsmyndighet, inte har alla de befogenheter i förhållande till som anges i förordningen, dvs. även utöver vad som särskilt föreslås i detta avsnitt. 10Vissa andra frågor av särskild vikt för dataskyddet Regleringen av verksamhet, såvitt avser behandlingen av personuppgifter, bör enligt vårt förslag i avsnitt 6.2.6 anpassas till bestämmelserna i dataskyddsförordningen och den kompletterande dataskyddslagen. Det är emellertid inte möjligt att i detta betänkande behandla alla bestämmelser i förordningen och dataskyddslagen som därigenom blir direkt tillämpliga vid Rekryter- ingsmyndighetens personuppgiftsbehandling. Vi har därför valt att i betänkandet i första hand behandla frågor där en särskild reglering är påkallad för del, exempelvis rätten att behandla känsliga personuppgifter. Vi behandlar också frågor som inte behandlas vare sig i dataskyddsförordningen eller i data- skyddslagen men som ändå är av stor vikt vid införandet av en ny reglering, såsom bestämmelser om direktåtkomst. De frågor där en särskild reglering är påkallad behandlas framför allt i kapitel 9. I det nu aktuella kapitlet behandlar vi vissa andra frågor som också är av särskild vikt för dataskyddet, även om en särskild reglering för inte är påkallad i dessa delar. Detta inne- bär att flera bestämmelser i dataskyddsförordningen och i mindre utsträckning även i dataskyddslagen, som blir direkt tillämpliga för , inte tas upp särskilt i detta betänkande. Ett sådant exempel är bestämmelserna om överklagande (artik- larna 78 och 79 i dataskyddsförordningen och 8 kap. 2–6 §§ data- skyddslagen). Vissa andra frågor av särskild vikt för dataskyddet 10.1Rättelse och annan korrigering Av 18 § pliktregisterlagen följer att bestämmelserna i personupp- giftslagen (1998:204) om den personuppgiftsansvariges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter och att underrätta tredje man, till vilken uppgift- erna har lämnats ut, ska gälla även då personuppgifter behandlats i strid med lagen eller föreskrifter som utfärdats med stöd av lagen. I förarbetena till bestämmelsen (prop. 1997/98:80 s. 43 f.) be- dömde regeringen att den registrerade bör ha samma möjlighet att få personuppgifter rättade eller korrigerade på annat sätt om be- handlingen strider mot bestämmelserna i en särskild registerför- fattning som i andra fall. Skyldigheten för den personuppgifts- ansvarige att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter gäller enligt 28 § personuppgiftslagen endast uppgifter som inte behandlats i enlighet med personupp- giftslagen eller föreskrifter som meddelats med stöd av den lagen. Den personuppgiftsansvarige ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Den personuppgiftsansvarige ska vidare se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen (9 § första stycket punkten h personuppgiftslagen). Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få fel- aktiga personuppgifter rättade och ofullständiga personuppgifter kompletterade. Artikel 18 ger även den registrerade rätt att under vissa omständigheter kräva att behandlingen av personuppgifter be- gränsas. Enligt finns bestämmelsernas motsvarighet i 28 § personuppgiftslagen första meningen, som an- Vissa andra frågor av särskild vikt för dataskyddet ger att den personuppgiftsansvarige är skyldig att på begäran av den registrerade bl.a. rätta eller blockera sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen (SOU 2017:39 s. 230 f.). Personuppgiftslagen innehåller inte något undantag från dessa rättigheter. Det bör i detta sammanhang också nämnas att det enligt artikel 17 i dataskyddsförordningen under vissa särskilt an- givna förutsättningar föreligger en rätt till radering (”rätten att bli bortglömd”). Bestämmelsen har sin motsvarighet i 28 § personupp- giftslagen. har föreslagit att det i förhållande till artiklarna 16, 17 och 18 i dataskyddsförordningen inte bör införas något generellt undantag från den registrerades rättigheter vid be- handling av personuppgifter. Utredningen har övervägt om ett så- dant bör införas i fråga om rätten till rättelse eller begränsning då behandling sker för arkivändamål av allmänt intresse. Ett undantag i denna del föreslås emellertid endast för arkivmyndigheternas del (a.a. s. 230). Utredningen konstaterar vidare att rätten till radering inte gäller enligt artikel 17.3 vid behandling för arkivändamål av all- mänt intresse, i den utsträckning som rätten sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med behandlingen. Enligt artikel 19 i dataskyddsförordningen ska den personupp- giftsansvarige underrätta dem som personuppgifter har lämnats ut till, om rättelse, radering eller begränsning sker enligt artiklarna 16– 18. Motsvarande underrättelseskyldighet regleras i 28 § andra men- ingen personuppgiftslagen. I denna bestämmelse anges att under- rättelse inte behöver lämnas, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Ett näst intill likalydande undantag från underrättelseskyldigheten gäller även en- ligt artikel 19 i dataskyddsförordningen. Undantaget innebär t.ex. att en myndighet inte behöver informera dem som har tagit del av en allmän handling om att behandlingen av uppgifter i handlingen har begränsats. Något ytterligare undantag, utöver den i förord- ningen direkt tillämpliga bestämmelsen, behöver enligt Dataskydds- utredningens bedömning inte införas i svensk rätt (a.a. s. 231). Vissa andra frågor av särskild vikt för dataskyddet Utredningens bedömning: Dataskyddsförordningens bestämmel- ser om rätt till rättelse, radering och begränsning av behandling (artiklarna 16–18) är direkt tillämpliga och bör tillämpas av . Någon bestämmelse om rättelse och annan korrigering behöver därför inte föras in i lagen. Det är viktigt att det även fortsättningsvis finns en möjlighet för enskilda att se till att en felaktig behandling av personuppgifter rät- tas eller korrigeras på annat sätt av . Detta behov tillgodoses genom pliktregisterlagens bestäm- melse därom med hänvisning till 28 § personuppgiftslagen. I och med dataskyddsförordningens ikraftträdande kommer emellertid förordningens bestämmelser om den registrerades rätt till rättelse, radering respektive begränsning av behandlingen (artik- larna 16–18) att bli direkt tillämpliga. be- dömning innebär att förordningens bestämmelser kommer att gälla generellt även i myndigheternas verksamhet. Skäl att avvika från eller i övrigt föreskriva undantag från detta när det gäller Rekryterings- myndighetens verksamhet har inte framkommit. Bestämmelserna bör följaktligen tillämpas även av . Någon bestämmelse om rättelse och annan korrigering behöver därför inte föras in i den nya lagen. Vad som anförts gäller även Försvarsmakten och andra som medges rätt att, förutom att föra in personuppgifter i Rekryterings- myndighetens informationssystem, rätta personuppgifter. Pliktregisterlagen innehåller inte några bestämmelser om anmälnings- skyldighet eller dataskyddsombud. Det innebär att personuppgifts- lagens bestämmelser om anmälningsskyldighet respektive person- uppgiftsombud ska tillämpas (jfr 4 § pliktregisterlagen). Vissa andra frågor av särskild vikt för dataskyddet Av 36 § personuppgiftslagen framgår att behandling av person- uppgifter som är helt eller delvis automatiserad omfattas av anmäl- ningsskyldighet till tillsynsmyndigheten, dvs. Om den personuppgiftsansvarige utser och anmäler ett personupp- giftsombud till tillsynsmyndigheten behöver dock ingen anmälan enligt 36 § göras (37 §). Dataskyddsdirektivets bestämmelser om personuppgiftsombud har implementerats i svensk rätt genom bestämmelserna om per- sonuppgiftsombud i 38–40 §§ personuppgiftslagen. Personuppgifts- ombudet har till uppgift att självständigt se till att den person- uppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpekar eventuella brister för honom eller henne. Har personuppgiftsombudet anledning att miss- tänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rätt- else så snart det kan ske efter påpekande, ska personuppgiftsom- budet anmäla förhållandet till tillsynsmyndigheten. Personupp- giftsombudet ska även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behand- lingen av personuppgifter ska tillämpas (38 §). Personuppgifts- ombudet ska vidare föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits (39 §). Slutligen ska personuppgiftsombudet hjälpa den registrerade att få rättelse när det finns anledning att misstänka att behandlade person- uppgifter är felaktiga eller ofullständiga (40 §). Motsvarande bestämmelser om dataskyddsombud finns i artiklarna 37– 39 i dataskyddsförordningen. Myndigheter som behandlar person- uppgifter måste enligt förordningen utnämna dataskyddsombud. Enligt artikel 37.1 ska den personuppgiftsansvarige och personupp- giftsbiträdet utnämna ett dataskyddsombud om behandlingen genom- förs av en myndighet eller ett offentligt organ. Dataskyddsombud ska också utses av personuppgiftsansvariga eller personuppgifts- biträden vilkas kärnverksamhet består av behandling som kräver regelbunden och systematisk övervakning av de registrerade i stor Vissa andra frågor av särskild vikt för dataskyddet Detsamma gäller om kärnverksamheten består av be- handling i stor omfattning av känsliga personuppgifter och person- uppgifter som rör fällande domar i brottmål och överträdelser. I artiklarna 37.5 och 38 finns bestämmelser om dataskydds- ombudets kvalifikationer och ställning. Ett dataskyddsombud ska ha till uppgift att informera de personuppgiftsansvariga, biträden och anställda om skyldigheterna enligt förordningen och andra unions- eller medlemsstatsreglerade dataskyddsbestämmelser. Om- budet ska också bl.a. övervaka efterlevnaden av förordningen och samarbeta med tillsynsmyndigheten (artikel 39). Enligt artikel 38.5 ska dataskyddsombudet, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlemsstaternas nationella rätt. Utredningens bedömning: Dataskyddsförordningens bestämmel- ser om dataskyddsombud (artiklarna 37–39) är direkt tillämpliga och bör tillämpas av . Bestämmelser om dataskyddsombud behöver därför inte föras in i lagen. har utsett ett personuppgiftsombud som för en förteckning över de behandlingar som myndigheten genom- för och som skulle ha omfattats av anmälningsskyldighet om ombudet inte funnits (jfr 37 och 39 § personuppgiftslagen). I och med dataskyddsförordningens ikraftträdande upphör dock person- uppgiftslagen att gälla. Det innebär att dataskyddsförordningens bestämmelser om krav på dataskyddsombud i myndigheters och offentliga organs verksamhet blir direkt tillämpliga. I likhet med vad som anförts i föregående avsnitt saknas skäl att avvika från eller i övrigt föreskriva undantag från dataskyddsförordningens bestäm- melser. Bestämmelserna bör således tillämpas av Rekryterings- myndigheten i likhet med andra myndigheter. Bestämmelser om dataskyddsombud behöver därför inte föras in i den nya lagen. Vissa andra frågor av särskild vikt för dataskyddet 10.3Information till den registrerade I pliktregisterlagen finns inte några bestämmelser som reglerar den registrerades rätt till information. skyl- dighet att, i egenskap av personuppgiftsansvarig, lämna information till den registrerade om myndighetens behandling av uppgifter om denne regleras i stället i personuppgiftslagen (jfr 4 § pliktregister- lagen). I förarbetena (prop. 1997/98:80 s. 42 f.) till pliktregisterlagen konstaterade regeringen att det saknas skäl att göra undantag, vare sig genom utvidgning eller genom inskränkning, från den informa- tionsskyldighet gentemot den registrerade som föreskrivs i person- uppgiftslagen. Enligt regeringen är personuppgiftslagens bestäm- melser om den personuppgiftsansvariges informationsplikt tillräckliga. För del innebär reglerna om information till den registrerade bl.a. att sådan självmant ska lämnas vid mönst- ringen och vid motsvarande utredningar, där den totalförsvars- pliktige själv lämnar uppgifterna till . Infor- mation om behandling av personuppgifter som Rekryteringsmyndig- heten hämtat från annan myndighet eller annat organ behöver dock inte ges till den registrerade om det framgår av lag eller förordning att dessa uppgifter ska lämnas ut till myndigheten. Detta undantag från informationsskyldigheten följer av 24 § andra stycket person- uppgiftslagen. Enligt 23–25 §§ personuppgiftslagen är en personuppgiftsansva- rig skyldig att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter. Den registrerade har vidare enligt 26 § första stycket personuppgiftslagen rätt att på begäran få information om och tillgång till de personuppgifter som behandlas. I 27 § personuppgiftslagen anges att bestämmelserna i 23–26 §§ om den registrerades rätt till information inte gäller i den utsträck- ning det är särskilt föreskrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författ- ning att uppgifter inte får lämnas ut till den registrerade. Vissa andra frågor av särskild vikt för dataskyddet Den personuppgiftsansvariges skyldighet att självmant ge den regi- strerade information om och tillgång till de personuppgifter som behandlas regleras i artiklarna 13–15 i dataskyddsförordningen. Enligt artiklarna 13 och 14 ska den personuppgiftsansvarige bl.a. lämna information om sin identitet och kontaktuppgifter, data- skyddsombudets kontaktuppgifter, ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. För att säkerställa en rättvis och transparent behandling ska den personuppgiftsansvarige vid insamlingen av personuppgifterna även lämna den registrerade information om bl.a. den period under vilken personuppgifterna kommer att lagras, rätten att begära tillgång till och rättelse eller radering av person- uppgifter eller begränsning av behandling som rör den registrerade samt rätten att inge klagomål till en tillsynsmyndighet. I arti- kel 14.5 föreskrivs dock flera direkt tillämpliga undantag från rätten till information. Den personuppgiftsansvarige behöver t.ex. inte förse den registrerade med information om denne redan förfogar över informationen, tillhandahållandet av informationen visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning eller personuppgifterna måste förbli konfidentiella till följd av tyst- nadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser. Av artikel 15 följer att den registrerade har rätt att på begäran få information om och tillgång till de personuppgifter som behandlas, bl.a. i form av registerutdrag. Denna rätt ska enligt artikel 15.4 inte inverka men- ligt på andra rättigheter och friheter. Artikel 23 möjliggör ytter- ligare undantag i medlemsstaternas nationella rätt från de skyldig- heter och rättigheter som föreskrivs i nämnda bestämmelser. har föreslagit att motsvarande undantag som i 27 § personuppgiftslagen ska tas in i den föreslagna data- skyddslagen.