sou · H5B366 · 2017-08-31 00:00:00 — Enligt principen om företräde ska EU-rätt tillämpas framför svensk lag om olika rättsakter strider mot varandra. Princi- pen om företräde för framgår av en förklaring (nr 17) som fogats till Lissabonfördragets slutakt, undertecknad . I förklaringen erinras om att fördragen och den rätt som antas av EU på grundval av fördragen har företräde fram- för nationell rätt på de villkor som fastställts i enlighet med EU- domstolens praxis. Den praxis som avses är huvudsakligen dom av , 6/64, EU:C:1964:66, i vilket en fördrags- artikel erkändes företräde gentemot nationell lag samt dom av , Internationale Handelsgesellschaft 11/70, EU:C:1970:114, där företrädesprincipen utvecklades till att med- föra att alla former av EU-rättsakter, även de allra lägsta, står över alla former av nationell lag. I dom av , Simmenthal 106/77, EU:C:1978:49 utvecklades principen om företräde ytterli- gare på så sätt att uttalade att fördragsbestämmel- serna inte bara medför att varje motstridande föreskrift i den be- fintliga nationella lagstiftningen blir automatiskt otillämplig i och med att träder i kraft, utan att de även hindrar att nya nationella författningar antas med giltig verkan till den del de är oförenliga med . En EU-förordning är bindande och direkt tillämplig i alla med- lemsländer från och med det datum då den träder i kraft (artikel 288 andra stycket ). Det innebär att medlemsstaten inte behöver vidta några författningsåtgärder för att EU-förordningens regler ska ha allmän giltighet på statens territorium. Dessutom strider alla nationella genomförandebestämmelser som innebär ett hinder mot EU-förordningens direkta effekt, t.ex. genom att i nationell lagstiftning upprepa bara vissa bestämmelser i eller låta bli att tala om att det är fråga om direkt tillämplig EU-rätt, mot fördraget, se dom av , kommissionen mot 39/72, EU:C:1973:13, punkt 17, och dom av , Bulb 50/76, EU:C:1977:13, punkt 7. EU-direktiven har en annan karaktär än EU-förordningarna. De riktar sig till medlemsstaterna och alltså inte till enskilda. Ett EU- direktiv föreskriver ett resultat som ska uppnås inom ramen för medlemsstaternas nationella lagstiftning. Form och tillvägagångs- sätt för genomförandet är dock upp till medlemsstaterna att be- stämma (artikel 288 tredje stycket ). Till skillnad från EU-förordningarna måste alltså EU-direktiven genomföras i natio- nell lagstiftning. Om ett EU-direktiv innehåller s.k. minimibestämmelser, måste medlemsstaterna se till att minimiskyddet uppfylls, men det är också tillåtet att i nationell lagstiftning ha ett mer utsträckt skydd. Är det inte fråga om ett sådant minimidirektiv, får medlemsstaterna införa varken strängare eller mildare bestämmelser än vad som följer av EU-direktivet. Bestämmelserna i kan dock i sig med- ge ett visst utrymme för nationella skillnader. I anslutning till ett nytt EU-direktiv föreskrivs en tidsgräns inom vilken EU-direktivet ska vara helt genomfört av medlems- länderna. Detta kan ske genom nya nationella regler, ändring av be- fintliga regler eller genom att befintliga regler som överensstämmer med direktivet fortsätter att gälla. 4.3.1Materiell och territoriell avgränsning Dataskyddsförordningen är – precis som dataskyddsdirektivet – tillämplig på helt eller delvis automatiserad behandling av person- uppgifter och på behandling av personuppgifter, om upp- gifterna ingår i eller kommer att ingå i ett register. Vissa behand- lingar av personuppgifter är dock uttryckligen undantagna från tillämpningsområdet. Det rör sig om behandling som sker inom verksamhet som inte omfattas av (t.ex. försvar och nationell säkerhet), behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brottsbekämpande verksamhet (artikel 2). Behandlingar av personuppgifter som utförs inom brotts- bekämpande verksamhet omfattas i stället av ett särskilt EU-direk- tiv, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behö- riga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, nedan kallat det nya dataskyddsdirektivet. Det nya dataskyddsdirektivet ska genom- föras i nationell lagstiftning . För att dataskyddsförordningen ska vara tillämplig krävs att de personuppgiftsansvariga är etablerade i EU/EES eller att de be- handlar personuppgifter i samband med att de erbjuder varor och tjänster till personer i EU/EES eller behandlar personuppgifter i samband med övervakning av människors beteende inom EU/EES (artikel 3). Dataskyddsförordningen innehåller i artikel 4 en rad definitioner av olika begrepp som används i dataskyddsförordningen. Här anges några av definitionerna. Personuppgifter är varje upplysning som avser en identifierad eller identifierbar fysisk person (kallad registrerad). Som identifika- torer anges förutom namn, identifikationsnummer, lokaliserings- uppgift eller onlineidentifikatorer även en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, gene- tiska, psykiska, ekonomiska, kulturella eller sociala identitet. Behandling (av personuppgifter) är en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av per- sonuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utläm- ning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller för- störing. Profilering är varje form av automatisk behandling av person- uppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synner- het för att analysera eller förutsäga denna fysiska persons arbets- prestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Register är en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centra- liserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensam eller tillsam- mans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Om ändamålen och medlen för behand- lingen lagts fast i medlemsstaternas nationella rätt, får den natio- nella rätten också peka ut vem som är personuppgiftsansvarig. Personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar person- uppgifter för den personuppgiftsansvariges räkning. Samtycke är varje slag av frivillig, specifik, informerad och otve- tydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Personuppgiftsincident är en säkerhetsincident som leder till oav- siktlig eller olaglig förstöring, förlust eller ändring eller till obehö- rigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Genetiska uppgifter är alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Biometriska uppgifter är personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansikts- bilder eller fingeravtrycksuppgifter. Uppgifter om hälsa är personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. För all behandling av personuppgifter enligt dataskyddsförordningen gäller samma övergripande principer som enligt dataskyddsdirekti- vet (artikel 5). Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt och de ska samlas in för på förhand bestämda och berättigade ändamål, som tydligt angivits. Personuppgifterna ska vara korrekta – alla rimliga åtgärder ska vidtas för att felaktiga upp- gifter rättas eller raderas – och dessutom adekvata, relevanta och inte för omfattande i förhållande till ändamålet. Behandlingen ska ske på ett säkert sätt och inte pågå än vad som är nödvändigt med hänsyn till ändamålet. Personuppgifter kan dock under vissa förutsättningar lagras i den mån som uppgifterna enbart behandlas för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statiska ändamål. Personuppgifter som samlats in för ett visst ändamål får som huvudregel inte behandlas för något annat ändamål som strider mot det ursprungliga ändamålet, den s.k. finalitetsprincipen. Undantag gäller om den registrerade har samtyckt till behandling för det nya ändamålet eller om behandlingen grundar sig på rättslig reglering. (Artikel 5.1 b och 6.4) Av skäl 50 till dataskyddsförordningen fram- går att vid sådan vidarebehandling som inte hindras av finalitets- principen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta är en nyhet i förhållande till dataskyddsdirektivet. 4.3.4Laglig behandling av personuppgifter För att en behandling av personuppgifter över huvud taget ska vara tillåten, krävs på samma sätt som enligt dataskyddsdirektivet att det finns en laglig grund för behandlingen (artikel 6). Minst ett av ett antal i dataskyddsförordningen angivna villkor måste vara uppfyllt. Det första alternativa villkoret är att den registrerade har lämnat sitt samtycke till behandlingen. Behandling kan också ske om den är nödvändig för att fullgöra ett avtal eller en rättslig förpliktelse, för att skydda intressen som är av grundläggande betydelse för en fysisk person, för att utföra en (arbets)uppgift av allmänt intresse eller som ett led i myndighetsutövning. gen behandlas med stöd av en intresseavvägning. En nyhet är dock att behandling av personuppgifter som utförs av offentliga myndig- heter när de fullgör sina uppgifter inte får ske med stöd av en intresseavvägning. Om behandling av personuppgifter ska ske med stöd av sam- tycke från den registrerade, krävs att samtycket är frivilligt. Det ska också vara tydligt vad samtycket avser och det ska ha föregåtts av information från den personuppgiftsansvarige om vad samtycket innebär. Samtycket kan lämnas skriftligt, muntligt eller genom kon- kludent handlande och kan när som helst tas tillbaka. (Artikel 7) Grunden för sådan behandling av personuppgifter som är nöd- vändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (arti- kel 6.1 e) måste fastställas i nationell rätt eller EU-rätt (artikel 6.3). Det innebär att det inte – till skillnad från vad som tidigare gällt enligt dataskyddsdirektivet och personuppgiftslagen – kommer att vara möjligt att endast stödja sig på den generella regleringen i data- skyddsförordningen vid sådan behandling. har analyserat om det med anledning av detta krav behöver införas generella nationella bestämmelser till stöd för åtminstone den offent- liga sektorns behandling av personuppgifter. Enligt Dataskydds- utredningens bedömning innebär kravet på att grunden för behand- lingen ska fastställas inte att det krävs en särskild reglering med anledning av dataskyddsförordningens ikraftträdande. Däremot är förekomsten av reglering avgörande för i vilken utsträckning per- sonuppgiftsansvariga kan behandla personuppgifter på den grunden att det är nödvändigt för att uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Kravet på att grunden för behandlingen ska vara fastställd i enlighet med unionsrätten eller den nationella rätten ut- gör således ett villkor som måste vara uppfyllt för att de rättsliga grunder som anges artikel 6.1 c och e ska vara tillämpliga. Förplik- telser och arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning som inte är rättsligt förankrade i enlighet med unionsrätten eller i medlemsstatens nationella rätt kan därmed inte åberopas som rättsliga grunder för behandling av personuppgifter.1 1 SOU 2017:39 s. 108–113. Ytterligare ett krav när det gäller behandling med stöd av den rättsliga grunden i artikel 6.1 c är att syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse ska fastställas i den rättsliga grunden. I fråga om be- handling enligt artikel 6.1 e gäller i stället att syftet med behand- lingen ska vara nödvändigt för att utföra en arbetsuppgift av all- mänt intresse eller som ett led i myndighetsutövning. Det finns också möjlighet att i nationell rätt mer detaljerat reglera olika krav på sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet eller utföra en arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning (artikel 6.2). I arti- kel 6.3 anges dessutom att den rättsliga grunden kan innehålla sär- skilda bestämmelser för att anpassa tillämpningen av dataskydds- förordningen. Denna möjlighet ger utrymme för s.k. registerlagstift- ning för bl.a. myndigheter. 4.3.5Känsliga personuppgifter och uppgifter om lagöverträdelser Behandling av vissa särskilda kategorier av personuppgifter är som huvudregel förbjudna. Det rör sig om uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening, genetiska uppgifter, bio- metriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1). Av dessa kategorier av uppgif- ter är genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning nya i förhållande till dataskyddsdirektivet. Samtliga angivna kategorier av uppgifter brukar med ett samlingsnamn kallas känsliga person- uppgifter. Från huvudregeln att känsliga personuppgifter inte får behand- las finns flera undantag angivna (artikel 9.2). Känsliga personupp- gifter kan t.ex. behandlas med stöd av samtycke eller för att upp- gifterna på ett tydligt sätt har offentliggjorts av den registrerade. De kan också behandlas för att skyldigheter och rättigheter ska kunna tillvaratas inom arbetsrätten i den omfattning detta är tillåtet enligt unionsrätten, nationell rätt eller kollektivavtal. gäller på områdena social trygghet och socialt skydd, vilket är nytt i förhållande till dataskyddsdirektivet. Behandling av känsliga per- sonuppgifter är vidare tillåten om den är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är förhindrad att ge sitt samtycke. Ett annat undantag avser behand- ling som är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller är en del av domstolarnas dömande verksam- het. Ideella verksamheter med politiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om sina med- lemmar. Om behandlingen sker på grundval av eller medlemsstaternas nationella rätt, kan känsliga personuppgifter också behandlas i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnads- plikt, av hänsyn till ett viktigt allmänt intresse, av skäl av allmänt intresse på folkhälsoområdet och för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål. Villkoret att nödvändig behandling av känsliga person- uppgifter inom hälso- och sjukvård ska ske på grundval av EU-rätt eller nationell lagstiftning är nytt i förhållande till dataskydds- direktivet. Det har inte heller, såsom dataskyddsdirektivet tolkats i , tidigare funnits något krav på att känsliga personuppgifter inom hälso- och sjukvården ska behandlas under ansvar av någon som omfattas av tystnadsplikt. Vidare har undantagen för allmänt intresse på folkhälsoområdet och för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål inte tidigare uttryckligen framgått av dataskydds- direktivet. Medlemsstaterna har möjlighet att komplettera dataskyddsför- ordningen med ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa (artikel 9.4). Behandling av uppgifter om lagöverträdelser måste ske under kontroll av en myndighet eller med stöd av särskild lagstiftning. Till skillnad från vad som gäller enligt dataskyddsdirektivet om- fattas inte friande brottmålsdomar av denna begränsning. Det finns inte heller någon reglering avseende administrativa frihetsberövan- den. (Artikel 10) Dataskyddsförordningen föreskriver ett antal rättigheter för den registrerade – och för den personuppgiftsansvarige motsvarande skyldigheter. Den registrerade har t.ex. rätt att få omfattande information från den personuppgiftsansvarige. Informationen ska avse allt från den personuppgiftsansvariges kontaktuppgifter och vilka rättigheter den registrerade har till uppgifter om hur person- uppgifterna kommer att användas. Information som den registre- rade redan känner till behöver inte lämnas. Om personuppgifterna har samlats in från någon annan än den registrerade, behöver infor- mation inte heller lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan, om erhållande eller utlämnande av personuppgifter är rättsligt reglerat eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt. (Artikel 12–14) Den informationsskyldighet som framgår av dataskyddsförord- ningen är betydligt mer omfattande än den som föreskrivs i data- skyddsdirektivet. Nytt i förhållande till dataskyddsdirektivet är bl.a. att om den personuppgiftsansvarige avser att behandla person- uppgifterna för ett annat syfte än det för vilket de samlades in, ska den registrerade få information om detta nya syfte samt övrig rele- vant information. Kontaktuppgifter till dataskyddsombudet, uppgift om tredjelandsöverföring, lagringstid, rätten att återkalla ett sam- tycke och rätten att inge klagomål är andra exempel på information som tillkommit. Regleringen av information ska lämnas om behandling av uppgifter som har samlats in från någon annan än den registrerade har också ändrats. Huvudregeln enligt dataskyddsdirektivet, att informationen ska lämnas vid tiden för registreringen, har ändrats på så sätt att information i stället ska lämnas inom en rimlig tid från erhållandet av uppgifterna. Det finns också möjlighet att informera först i samband med den första kom- munikationen med den registrerade. (Artikel 13 och 14) Vidare ställer dataskyddsförordningen i artikel 12.1 nya krav på att informationen som lämnas ska vara koncis, klar och tydlig, be- griplig och lättillgänglig. Den registrerade kan också begära registerutdrag med informa- tion om bl.a. vilka uppgifter som behandlas om honom eller henne (artikel 15). Vidare finns möjlighet för den registrerade att få fel- aktiga personuppgifter som rör honom eller henne rättade och att under vissa förutsättningar få uppgifterna raderade eller åtminstone få behandlingen begränsad (artikel 16–18). Rätten till radering eller rätten att bli bortglömd följer av artikel 17 och är betydligt mer detaljerat reglerad än rätten till utplåning enligt dataskyddsdirekti- vet. Det finns vissa undantag till bestämmelsen. Bland annat gäller den inte för behandling som sker med stöd av grunderna i arti- kel 6.1 c och e (rättslig förpliktelse och arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning). Det finns också undantag för bl.a. arkivändamål. Den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuell rättelse, radering av personuppgifter eller begränsning av behandling och den registrerade ska också kunna få information om dessa mottag- are (artikel 19). Personuppgifter som den registrerade tillhandahållit den per- sonuppgiftsansvarige, ska på begäran lämnas ut i ett strukturerat, allmänt använt och maskinläsbart format i syfte att kunna överlämnas till en annan personuppgiftsansvarig, s.k. dataportabilitet, men bara om behandlingen grundar sig på samtycke eller avtal (artikel 20). Denna rätt gäller inte i fråga om en behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Den registrerade har rätt att när som helst göra invändningar mot behandling av personuppgifter som sker på den grunden att behandlingen bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som led i myndighetsutövning alternativt med stöd av en intresseavvägning. Möjligheten att genom invändningar förhindra behandling av personuppgifter är utökad i förhållande till dataskyddsdirektivet. Om den registrerade invänder mot behand- ling av personuppgifter får den personuppgiftsansvarige inte längre behandla uppgifterna, såvida denne inte kan påvisa tvingande be- rättigade skäl för behandlingen som väger tyngre än den registrera- des intressen, rättigheter och friheter eller om det sker för fastställ- ande, utövande eller försvar av rättsliga anspråk. Om personuppgif- ter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att invända mot behandling av hans eller hennes personuppgifter. inte behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse. (Artikel 21) Dataskyddsförordningen möjliggör i likhet med dataskyddsdirektivet nationella undantag från rätten att invända mot behandling, men endast under de förutsättningar som anges i artikel 23.1 (se nedan). Det innebär att medlemsstaterna kan begränsa rätten att invända mot behandling genom generella bestämmelser. För att kunna införa eventuella nationella begränsningar krävs det stället att en prövning görs mot artikel 23.1. En ytterligare rättighet för den registrerade är att slippa bli före- mål för ett beslut som grundas enbart på automatiserad behandling, inbegripet profilering (artikel 22). Denna rättighet gäller dock inte om beslutet är nödvändigt för att ingå eller fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige, om beslutet tillåts enligt EU-rätt eller nationell rätt som också fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och be- rättigade intressen eller om beslutet grundar sig på den registrera- des uttryckliga samtycke. Dataskyddsförordningen lämnar ett förhållandevis stort hand- lingsutrymme till medlemsstaterna att under vissa förutsättningar göra undantag från och modifiera ovan angivna rättigheter och skyldigheter.