sou · H5B366 · 2017-08-31 00:00:00 — Regeringen anser att det finns behov av att samlat undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om per- sonuppgiftsbehandling inom verksamhets- område samt analysera vilka anpassningar av författningar som krävs eller bör göras med anledning av den nya EU-regleringen och personuppgiftslagens upphävande. Inom ramen för en sådan under- sökning behöver bl.a. förutsättningarna för att behålla eller införa nationell reglering i enlighet med artikel 6.2 i dataskyddsförord- ningen analyseras. Om utredaren bedömer att författningar måste eller bör ändras, ska utredaren lämna förslag till författningsänd- ringar. Utifrån den utredningstid som finns tillgänglig för att hinna ut- reda och ta fram förslag till ändringar i författningar som är behöv- liga för att det ska finns rättsligt stöd för befintlig personuppgifts- behandling och anpassa de befintliga registerförfattningarna till dataskyddsförordningen så bedöms det att utredningens arbete be- höver inrikta sig på sådana ändringar. Möjligheter att utreda och föreslå andra materiella ändringar, dvs. mer allmänna översyner, är därmed begränsad. Det är viktigt att den nationella regleringen är så enhetlig som möjligt i sin utformning, vilket t.ex. innebär att termer, uttryck och struktur samt hänvisningar till dataskyddsförordningen är enhet- liga. Detta ska utredaren beakta i sitt uppdrag. Vid utförandet av uppdraget är det också viktigt att – i den mån utrymme finns på nationell nivå – hitta lämpliga avvägningar mellan skyddet för den personliga integriteten och myndigheters, företags och enskildas behov av att kunna behandla personuppgifter eller att använda informations- och kommunikationsteknik inom olika om- råden. Den enskilde har exempelvis intresse av att få sina ärenden hos myndigheter handlagda effektivt och att få tillgång till olika sam- hälleliga verksamheter, t.ex. inom hälso- och sjukvården, på ett för denne lämpligt sätt. För näringslivet finns det intresse av att und- vika onödiga hinder som försvårar sådan personuppgiftsbehandling som behövs för att kunna erbjuda befintliga och utveckla nya inno- vativa tjänster och produkter av god kvalitet genom att använda informations- och kommunikationsteknik. I många av verksamheterna inom verk- samhetsområde hanteras barns personuppgifter i stor utsträckning. Mot bakgrund av åtaganden i FN:s konvention om barnets rättig- heter bör utredaren i möjligaste mån och där det är relevant också uppmärksamma barns rättigheter inom ramarna för utrednings- uppdraget. Utredaren får inte avvika från generellt och direkt tillämplig unionsrätt eller på annat sätt lämna förslag som medför en konflikt med unionsrätten, dvs. utredarens förslag ska överensstämma med unionsrätten. –undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom verksamhetsområde, –undersöka vilka anpassningar av de författningar som hör till verksamhetsområde som krävs eller bör göras med anledning av dataskyddsförordningen, och –lämna behövliga och lämpliga författningsförslag. Behov av anpassningar av författningar som reglerar behandling av särskilda kategorier av personuppgifter Dataskyddsförordningen innehåller i likhet med dataskyddsdirek- tivet och personuppgiftslagen ett principiellt förbud mot att be- handla vissa särskilda kategorier av personuppgifter. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden (artikel 9.1). I dataskyddsförordningen finns också definitioner av vad som exempelvis avses med genetiska uppgifter, biometriska uppgifter och uppgifter om hälsa (artikel 4). Av dessa kategorier är genetiska uppgifter, biometriska uppgifter och uppgifter om en persons sexuella läggning nya i förhållande till dataskyddsdirektivet. Från förbudet finns ett antal viktiga undantag (artikel 9.2). För att vissa av undantagen ska vara tillämpliga krävs att grunden för sådana behandlingar på olika sätt kommer till uttryck i unions- rätten eller i nationell rätt. finns vissa undantagsbestämmelser i 15–19 §§ personupp- giftslagen och det ingår i uppdraget för den utredning som ska ta fram en kompletterande generell nationell reglering till förordningen att överväga vilka kompletterande bestämmelser om undantag från förbudet som också bör finnas i en sådan reglering, se dir. 2016:15 s. 16 och 17. Inom verksamhetsområde förekommer omfattande personuppgiftsbehandling som förutsätter att myndig- heter eller privata utförare får behandla särskilda kategorier av per- sonuppgifter. Det gäller exempelvis inom hälso- och sjukvården och . Behandlingen av sådana personuppgifter behövs t.ex. i ärendehantering och för att faktiskt tillhandahålla hälso- och sjukvård eller insatser inom . Vidare finns olika for- mer av register som innehåller särskilda kategorier av personupp- gifter för att en eller flera myndigheter ska kunna bedriva sin verk- samhet eller för att andra aktörer ska kunna få del av uppgifterna för t.ex. forskning eller epidemiologiska undersökningar. I uppdra- get som rör verksamhetsområde är det därför särskilt viktigt att överväga behov av anpassningar av bestämmelser om undantag från förbudet att behandla vissa särskilda kategorier av personuppgifter, t.ex. med anledning av de nytillförda kategori- erna. En utgångspunkt för uppdraget i denna del är att de befintliga förutsättningarna för ändamålsenlig behandling av personuppgifter inom verksamhetsområde inte försämras. –överväga behov av anpassningar av bestämmelser om undantag från förbudet att behandla särskilda kategorier av personupp- gifter i de författningar som hör till verk- samhetsområde, och –lämna behövliga och lämpliga författningsförslag. Nationella begränsningar av vissa skyldigheter och rättigheter Den registrerade har enligt artikel 21 i dataskyddsförordningen i vissa fall rätt att göra invändningar mot behandling av personupp- gifter som grundar sig på t.ex. artikel 6.1 e behandling som är nöd- vändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den personuppgiftsansvarige får i dessa fall inte längre behandla personuppgifter såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det som sker för fastställande, ut- övande eller försvar av rättsliga anspråk. Senast vid den första kom- munikationen med den registrerade ska den rätt till invändning uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information. Om personuppgifter behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, ska den registrerade på motsvarande sätt ha rätt att göra invändningar mot behandling avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. I vissa författningar inom verksamhets- områden finns bestämmelser som innebär att den enskilde har rätt att motsätta sig behandling av personuppgifter (opt-out), se exem- pelvis 6 kap. 2 § och 7 kap. 2 § patientdatalagen. Men det förekom- mer också bestämmelser som innebär att personuppgiftsbehandling är tillåten även om den enskilde motsätter sig det, se exempelvis 2 kap. 2 § patientdatalagen. Förutsättningarna för att behålla eller införa sådana bestämmelser regleras av bl.a. artikel 23 i dataskydds- förordningen och det behöver analyseras om detta föranleder behov av att anpassa lagstiftningen på det aktuella området. Den registrerade ska vidare enligt artikel 22 dataskyddsförord- ningen ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i bety- dande grad påverkar honom eller henne. Detta ska dock inte tilläm- pas t.ex. om beslutet tillåts enligt unionsrätten eller en medlems- stats nationella rätt som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen eller grundar sig på den registrerades uttryckliga samtycke. I 112 kap. 7 § socialförsäkringsbalken (SFB) föreskrivs att be- slut om allmän ålderspension får fattas genom automatiserad be- handling av när skälen för beslutet får ute- lämnas enligt 20 § förvaltningslagen (1986:223). Detsamma gäller i tillämpliga delar för beslut om efterlevande- pension och efterlevandestöd. beslut om pensionsgrundande inkomst får fattas genom automatiserad behandling när skälen för beslutet får ute- lämnas enligt 20 § förvaltningslagen (112 kap. 6 § SFB). Mot bak- grund av förekomsten av automatiserat beslutsfattande i verksam- heter som omfattas av verksamhetsområde behöver det analyseras om bestämmelserna i dataskyddsförord- ningen innebär behov av att anpassa eller införa nationell reglering. Genom artikel 23.1 i dataskyddsförordningen ges medlemsstaterna möjlighet att under vissa förhållanden begränsa omfattningen av vissa av de andra skyldigheter och rättigheter som förordningen föreskriver. Utöver de rättigheter som berörts ovan gäller detta bl.a. rätten till information och tillgång till personuppgifter (artikel 12–15) samt rättelse, radering och begränsning av behandling (arti- kel 16–19). I det nuvarande dataskyddsdirektivet finns motsvarande regler- ing om undantag i artikel 13. Undantag med stöd av den bestäm- melsen tas ofta in i sektorsspecifik lagstiftning, Dataskyddsförord- ningens bestämmelser är dock mer omfattande än direktivets bl.a. när det gäller tillämpningsområden för de skyldigheter och rättig- heter som kan begränsas. –undersöka om det behövs anpassningar i nuvarande författningar avseende de rättigheter som dataskyddsförordningen ger den registrerade vad gäller dennes rätt att göra invändningar mot behandling av personuppgifter och att inte bli föremål för auto- matiserat individuellt beslutsfattande, –analysera om det finns behov av att anpassa eller införa natio- nella begränsningar av vissa andra skyldigheter och rättigheter, och –lämna behövliga och lämpliga författningsförslag. Behov av kompletterande regler om behandling av personuppgifter hos vissa myndigheter och verksamheter som saknar särskilda registerförfattningar? För några av de myndigheter och verksamheter som hör till Social- departementet saknas särskilda registerförfattningar med be- stämmelser för den personuppgiftsbehandling som dessa utför. Detta gäller exempelvis Myndigheten för vård- och omsorgsanalys, Inspektionen för socialförsäkringen (ISF), Myndigheten för familje- rätt och föräldraskapsstöd och som därmed tillämpar personuppgiftslagen vid sin personuppgiftsbehandling. I fråga om ISF:s personuppgiftsbehandling har Utredningen om personuppgiftsbehandling vid ISF i betänkandet Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67) bl.a. lämnat ett förslag till ny lag om behandling av personuppgifter inom ISF:s verksamhet. Betänkandet bereds inom . Ut- redaren bör överväga vilka anpassningar som till följd av data- skyddsförordningen kan behöva göras av de förslag som lämnats i betänkandet SOU 2014:67. –undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs komplette- rande föreskrifter för vissa myndigheter och verksamheter som saknar särskilda registerförfattningar, och –lämna behövliga och lämpliga författningsförslag. Utredaren är oförhindrad att inom de ramar som anges i de all- männa riktlinjerna belysa även andra frågeställningar och lämna för- slag som är relevanta för uppdraget. Om utredaren kommer fram till att det krävs eller är lämpligt med kompletterande bestämmelser i andra delar än de som ska ut- redas särskilt, får sådana föreslås. Ekonomiska och andra konsekvenser för enskilda personer, för företag och för det allmänna av de förslag som lämnas ska redovi- sas. Förslagens konsekvenser ska redovisas enligt 14–15 a §§ kom- mittéförordningen (1998:1474). Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Utredaren ska också redovisa förslagens kon- sekvenser för den personliga integriteten. Samråd och redovisning av uppdraget Vid anpassningen av svensk rätt till den nya EU-regleringen bör en enhetlig tolkning eftersträvas. Utredaren ska därför hålla sig infor- merad om och beakta relevant arbete som bedrivs inom , utredningsväsendet och inom EU. Detta innebär bl.a. att utredaren ska följa och i lämplig omfattning samråda med övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av . Under genomförandet av uppdraget ska utredaren, i den utsträck- ning som bedöms lämplig, också inhämta synpunkter och upplys- ningar från de myndigheter och andra organisationer som kan vara berörda av aktuella frågor. Uppdraget ska redovisas . Europeiska unionens officiella tidning L 119/1 OCH RÅDETS FÖRORDNING (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (Text av betydelse för EES) OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av yttrande (2), i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande. (3)och rådets direktiv /46/EG (4) syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. (1) EUT C 229, 31.7.2012, s. 90. (2) EUT C 391, 18.12.2012, s. 127. (3) ståndpunkt av (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av (ännu ej offentliggjord i EUT). (4) och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31). L 119/2 Europeiska unionens officiella tidning (4)Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald. (5)Den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena av personuppgifter. Utbytet av personuppgifter mellan offentliga och privata aktörer, inbegripet fysiska personer, sammanslutningar och företag, över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionsrätten att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat. (6)Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen av insamling och delning av personuppgifter har ökat avsevärt. Tekniken gör det möjligt för både privata företag och offentliga myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler fysiska personer gör sina personliga uppgifter allmänt tillgängliga, världen över. Tekniken har omvandlat både ekonomin och det sociala livet, och bör ytterligare underlätta det fria flödet av personuppgifter inom unionen samt överföringar till tredjeländer och internationella organisationer, som en hög skyddsnivå säkerställs för personuppgifter. (7)Dessa förändringar kräver en stark och mer sammanhängande ram för dataskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete, eftersom det är viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Fysiska personer bör ha kontroll över sina egna personuppgifter. Den rättsliga säkerheten och smidigheten för fysiska personer, ekonomiska operatörer och myndigheter bör stärkas. (8)Om denna förordning föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt. (9)Målen och principerna för direktiv /46/EG är fortfarande giltiga, men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen, rättsosäkerhet eller allmänt spridda uppfattningar om att betydande risker kvarstår för fysiska personer, särskilt med avseende på användning av internet. Skillnader i nivån på skyddet av fysiska personers rättigheter och friheter, särskilt rätten till skydd av personuppgifter, vid behandling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter över hela unionen. Dessa skillnader kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, de kan snedvrida konkurrensen och hindra myndigheterna att fullgöra sina skyldigheter enligt unionsrätten. De varierande skyddsnivåerna beror på skillnader i genomförandet och tillämpningen av direktiv /46/EG. (10)För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgift sansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. Jämte den allmänna och övergripande lagstiftning om dataskydd varigenom direktiv /46/EG genomförs har medlemsstaterna flera sektorsspecifika lagar på områden som kräver mer specifika bestämmelser. Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter. Europeiska unionens officiella tidning L 119/3 (11)Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna. (12)I artikel 16.2 i EUF-fördraget bemyndigas och rådet att fastställa bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter och bestämmelser om den fria rörligheten för personuppgifter. (13)För att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer, däribland mikroföretag samt små och medelstora företag, och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyn digheterna i olika medlemsstater effektivt. För att den inre marknaden ska fungera väl krävs att det fria flödet av personuppgifter inom unionen inte begränsas eller förbjuds av skäl som har anknytning till skydd för fysiska personer med avseende på behandling av personuppgifter. För att ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda situation innehåller denna förordning ett undantag för organisationer som sysselsätter färre än 250 personer med avseende på registerföring. Dessutom uppmanas unionens institutioner och organ samt medlemsstaterna och deras tillsynsmyndigheter att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov. samt små och medelstora företag bör bygga på artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG (1). (14)Det skydd som ska tillhandahållas enligt denna förordning bör tillämpas på fysiska personer, oavsett medborgarskap eller hemvist, med avseende på behandling av deras personuppgifter. Denna förordning omfattar inte behandling av personuppgifter rörande juridiska personer, särskilt företag som bildats som juridiska personer, exempelvis uppgifter om namn på och typ av juridisk person samt kontaktuppgifter. (15)För att förhindra att det uppstår en allvarlig risk för att reglerna kringgås bör skyddet för fysiska personer vara teknikneutralt och inte vara beroende av den teknik som används. Skyddet för fysiska personer bör vara tillämpligt på både automatiserad och behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter samt omslag till dessa, som inte är ordnade enligt särskilda kriterier, bör inte omfattas av denna förordning.