sou · H5B366 · 2017-08-31 00:00:00 — Eftersom bestämmelsen i 12 § personuppgiftslagen, som anger att en registrerad med vissa undantag inte har rätt att motsätta sig en behandling av personuppgifter som är tillåten enligt lagen, kommer att upphävas och någon motsvarande bestämmelse inte föreslås av Dataskyddsutredningen8, kommer den registrerades rätt att göra invändningar att omfatta betydligt fler behandlingar än . Rätten gäller dock endast behandling som sker på den grunden att behandlingen bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som led i myndighetsutövning alternativt med stöd av en intresseavvägning. Det finns också undantag från rätten att göra invändningar som avser behandling för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Den utökade rätten att göra invändningar innebär alltså att den personuppgiftsansvarige i fler fall än kommer att behöva pröva invändningar från den registrerade och i förekommande fall avbryta behandlingen av den registrerades personuppgifter. I registerförfattningar kan det, liksom , finnas bestämmelser som begränsar den registrerades möjlighet att göra invändningar. 8 SOU 2017:39. Konsekvenserna av att dataskyddsförordningen börjar tillämpas Som anges i avsnitt 4.3.7 innehåller dataskyddsförordningen en ny skyldighet för personuppgiftsansvariga att dokumentera och an- mäla personuppgiftsincidenter. Denna nya skyldighet kan komma att innebära att det i verksamheten behövs nya rutiner, särskilt eftersom tidsfristen för anmälan endast är . Som också framgår av avsnitt 4.3.7 kommer den personuppgifts- ansvarige enligt artikel 35 i dataskyddsförordningen att vara skyldig att göra en konsekvensbedömning före en behandling av person- uppgifter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. I vissa fall måste även förhandssamråd ske med tillsynsmyndigheten. Detta är en ny skyldighet för den personuppgiftsansvarige. Skyldigheten har störst betydelse när verksamheten inte omfattas av särskild registerlagstiftning. En konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen behöver nämligen som regel inte göras vid behandling som utförs med stöd av artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse, allmänt in- tresse eller myndighetsutövning) när en konsekvensutredning redan har genomförts vid antagandet av den reglering som utgör den rätts- liga grunden för behandlingen. 7.10Skyldighet att utse dataskyddsombud En annan nyhet i dataskyddsförordningen är, som framgår av av- snitt 4.3.8, kravet på att vissa organisationer ska utse ett dataskydds- ombud. Kravet medför att de myndigheter och andra organisationer som omfattas av kravet – med iakttagande av dataskyddsförord- ningens bestämmelser om kvalifikationer och ställning – måste utse ett dataskyddsombud som ska agera självständigt. Som framgår av avsnitt 4.3.7 är det inte dataskyddsombudet utan den personuppgiftsansvarige och personuppgiftsbiträdet som ska upprätta en förteckning över behandlingar av personuppgifter. Konsekvenserna av att dataskyddsförordningen börjar tillämpas Skyldigheten att anmäla behandlingar till tillsynsmyndigheten för- svinner. Som framgår av avsnitt 4.3.11 föreskriver dataskyddsförordningen sanktioner i form av skadestånd och administrativa sanktionsavgifter. Rätten till skadestånd finns föreskriven även i dataskyddsdirektivet och personuppgiftslagen, men en nyhet i dataskyddsförordningen är att även personuppgiftsbiträden kan bli skadeståndsskyldiga. Möjligheten att utfärda administrativa sanktionsavgifter vid över- trädelser av dataskyddsförordningen är helt ny. Bestämmelsen om administrativa sanktionsavgifter är direkt tillämplig och gäller både personuppgiftsansvariga och person- uppgiftsbiträden. Medlemsstaterna får dock själva avgöra om och i vilken utsträckning tillsynsmyndighetens möjlighet att påföra admi- nistrativa sanktionsavgifter ska omfatta myndigheter. Enligt Data- skyddsutredningens förslag ska ett beslut om sanktionsavgifter få riktas även mot statliga och kommunala myndigheter.9 Personuppgiftslagen innehåller, utöver bestämmelser om skade- stånd, även en straffbestämmelse (49 §) och en möjlighet för Data- inspektionen att utfärda vite (44–46 §§). Medlemsstaterna ska enligt artikel 84 i dataskyddsförordningen fastställa regler om andra sank- tioner för överträdelser av dataskyddsförordningen, särskilt sådana som inte är föremål för administrativa sanktionsavgifter. Data- skyddsutredningen har dock bedömt att det inte finns behov av bestämmelser om straff eller vite.10 Ytterligare en nyhet är därmed att dessa bestämmelser försvinner. 9SOU 2017:39 s. 287. 10SOU 2017:39 s. 297. 8Verksamheter som inte har en registerförfattning Utredningens bedömning: Det har inte framkommit att några myndigheter eller verksamheter inom verksamhetsområde som inte har en registerförfattning behöver kompletterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas. Några av de myndigheter och verksamheter som hör till Social- departementets verksamhetsområde har inte en register- författning. I utredningsdirektiven anges att det exempelvis gäller Myndigheten för vård- och omsorgsanalys, Inspektionen för social- försäkringen, Myndigheten för familjerätt och föräldraskapsstöd och . Dessa myndigheter ska tillämpa personuppgiftslagen vid sin behandling av personuppgifter. När personuppgiftslagen upphävs kommer myndigheter och verksamheter som inte omfattas av någon registerförfattning i stället att tillämpa dataskyddsförordningen och den föreslagna dataskydds- lagen. Utredningen ska enligt utredningsdirektiven undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs kompletterade föreskrifter för vissa myndigheter och verksamheter som saknar särskilda register- författningar och i förekommande fall lämna författningsförslag. Som anges i avsnitt 6.1 får detta anses innebära att utredningen ska undersöka om det förekommer någon typ av behandling av personuppgifter med stöd av personuppgiftslagen, t.ex. missbruks- regeln i 5 a § eller en intresseavvägning enligt 10 § f personuppgifts- lagen, alternativt personuppgiftsförordningen som behöver författ- ningsstöd för att kunna fortsätta. Det är dock endast reglering av sådan behandling av personuppgifter som är mer eller mindre unik Verksamheter som inte har en registerförfattning för en viss verksamhet och som därför inte rimligen bör omfattas av en generell reglering som får anses ingå i utredningens uppdrag. Sådan behandling som behöver utföras av flera myndigheter, som hör under flera departement, bör däremot inte specialregleras utan i stället omfattas av den generella regleringen i dataskyddslagen. Som också framgår av avsnitt 6.1 kommer författningsstöd för annat än det som enligt utredningens bedömning är lagligt inte att utredas. I syfte att undersöka om det behövs kompletterande föreskrifter för de verksamheter som inte har en registerförfattning har utred- ningen haft särskilda möten med experterna från de myndigheter som omnämns i utredningsdirektiven, dvs. Myndigheten för vård- och omsorgsanalys, Inspektionen för socialförsäkringen, Myndig- heten för familjerätt och föräldraskapsstöd och Folkhälsomyndig- heten. Det har inte framkommit att dessa myndigheter utför någon myndighetsspecifik behandling av personuppgifter som är tillåten men som behöver författningsregleras för att vara tillåten när personuppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. De behandlingar som dessa myndigheter har redogjort för är i stället i de flesta fall sådana som till sin natur är gemensamma för många myndigheter och organisationer. Det är därför inte motiverat att reglera behandlingen särskilt utan denna bör i stället omfattas av den generella regleringen. Det bör betonas att utredningen inte har bedömt om det är nöd- vändigt eller lämpligt av annan anledning än den kommande förändringen på grund av EU-regleringen med en författnings- reglering av behandlingen av personuppgifter hos de nämnda myndig- heterna. Genom tilläggsdirektiv1 har dock utredningen även fått i uppdrag att utreda behovet av en särskild författning med bestäm- melser om behandling av personuppgifter för Myndigheten för vård- och omsorgsanalys. Ett betänkande avseende detta uppdrag ska lämnas . Det har inte heller i övrigt framkommit att någon verksamhet eller myndighet inom verksamhetsområde behöver kompletterande föreskrifter till följd av personuppgifts- lagens upphävande och regleringen i dataskyddsförordningen. 1 Dir. 2017:67. 9Allmänt om befintliga bestämmelser I utredningsdirektiven anges inte särskilt många utgångspunkter för översynen av de befintliga registerförfattningarna inom Social- departementets verksamhetsområde. Förslagen ska, självklart, stämma överens med . Det gäller att, också det självklart, i den mån det finns utrymme hitta lämpliga avvägningar mellan skyddet för den personliga integriteten och de behov som finns av att be- handla personuppgifter. Uttryck, struktur och hänvisningar till dataskyddsförordningen ska vara enhetliga. De befintliga förutsätt- ningarna för en ändamålsenlig behandling ska dock inte försämras. I detta avsnitt görs generella överväganden som sedan används som en slags mall vid översynen av de enskilda författningarna. 9.2Det är tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter Utredningens bedömning: Det är tillåtet att begränsa myndig- heters möjligheter till behandling av personuppgifter och utöka deras skyldigheter i förhållande till dataskyddsförordningen. Be- stämmelser i registerförfattningar med den innebörden kan och bör därför behållas. Dataskyddsförordningen är direkt tillämplig och innebär i vissa fall en rätt att behandla personuppgifter (t.ex. när det finns ett giltigt samtycke eller behandlingen är nödvändig för att fullgöra ett avtal, Allmänt om befintliga bestämmelser artikel 6.1 a och b) eller en rätt att slippa göra vissa saker (se t.ex. artikel 11.1) som man inte kan avvika från i nationell rätt. Data- skyddsförordningen innebär i dessa fall alltså att det är otillåtet att inskränka rätten att behandla personuppgifter eller ålägga skyldig- heter vid behandling utöver vad som följer av dataskyddsförord- ningen. Detta gäller helt klart i fråga om enskildas behandling av personuppgifter. När det gäller det allmännas, dvs. myndigheters, behandling av personuppgifter gör utredningen följande bedömning. Dataskyddsförordningen innebär inte en skyldighet att behandla personuppgifter i de fall det är tillåtet annat än när det föreskrivs en sådan skyldighet, t.ex. när det gäller uppfyllandet av den registre- rades rättigheter exempelvis avseende registerutdrag. Dataskydds- förordningen innebär inte heller ett förbud mot att en personupp- giftsansvarig väljer att gå utöver sina skyldigheter enligt data- skyddsförordningen och t.ex. lämna registrerade mera information än som krävs. I den utsträckning personuppgiftsansvariga har en sådan valrätt enligt dataskyddsförordningen, är det utredningens bedömning att medlemsstaterna utan hinder av dataskyddsförord- ningen genom nationell rätt kan disponera över den valrätten för sina egna myndigheter. Det gäller i såväl statliga som kom- munala myndigheter. Däremot är det förstås inte tillåtet att i natio- nell rätt föreskriva att myndigheter får göra eller slipper göra något annat än när detta är tillåtet enligt dataskyddsförordningen. Eftersom det alltså är tillåtet att begränsa myndigheters möjlig- heter till behandling av personuppgifter och utöka deras skyldig- heter i förhållande till vad som gäller enligt dataskyddsförordningen, kan och bör bestämmelser i registerförfattningar med den inne- börden behållas. Allmänt om befintliga bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen Utredningens bedömning: När den rättsliga grunden för behand- lingen är att den är nödvändig för att fullgöra en rättslig för- pliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning, kan och bör bestämmelser i registerförfattningar som begränsar myndigheters och enskildas möjligheter till behand- ling av personuppgifter och utökar deras skyldigheter i förhåll- ande till dataskyddsförordningen behållas. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som är nödvändig för att fullgöra en rättslig för- pliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, dvs. behandling som avses i artikel 6.1 c och e i dataskyddsförord- ningen. Den rättsliga grund för behandlingen som enligt artikel 6.3 i data- skyddsförordningen i dessa fall ska fastställas i den nationella rätten kan också innehålla särskilda bestämmelser för att anpassa tillämp- ningen av dataskyddsförordningen. Som exempel på sådana bestäm- melser anges allmänna villkor som ska gälla för den personuppgifts- ansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgif- terna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behand- ling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Enligt skäl 45 till dataskyddsförordningen ska man dess- utom kunna precisera kraven för att fastställa vem den person- uppgiftsansvarige är. Medlemsstaternas nationella rätt bör, enligt det skälet, också reglera frågan huruvida en personuppgiftsansvarig som utför en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig Allmänt om befintliga bestämmelser lagstiftning eller, om detta motiveras av allmänintresset, vilket in- begriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, av civilrätts- lig lagstiftning, exempelvis en yrkesorganisation. Den rättsliga regleringen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Medlemsstaternas nationella lagstiftning får alltså enligt artikel 6.2 och 6.3 i dataskyddsförordningen innehålla mer specifika bestäm- melser för att anpassa tillämpningen av dataskyddsförordningen när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Dataskyddsförordningen hindrar inte att medlemsstaterna i nationell rätt inför mer restriktiva be- stämmelser än enligt dataskyddsförordningen för sina egna myndig- heters behandling av personuppgifter (se avsnitt 9.2). Även behand- ling som utförs av privata subjekt kan regleras i mer specifika bestämmelser så länge behandlingen stödjer sig på någon av de rättsliga grunderna fullgörande av rättslig förpliktelse eller utfö- rande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Det innebär att det är möjligt att såväl be- gränsa enskildas möjligheter till behandling av personuppgifter som att utöka deras skyldigheter i samband med behandlingen. Den nationella lagstiftningen ska som nämnts uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det får förutsättas att lagstiftaren i samband med tidi- gare författningsarbeten har gjort en proportionalitetsbedömning och bedömt att lagstiftningen syftar till att uppfylla ett mål av all- mänt intresse. Kraven på bestämmelserna enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen får därmed anses redan vara uppfyllda. Det lär även i övrigt finnas vissa gränser för vilka begränsningar som kan införas på nationell nivå. De specifika bestämmelserna enligt artikel 6.2 och 6.3 i dataskyddsförordningen lär t.ex. inte få innebära att det i praktiken blir omöjligt att genomföra behandling som är nödvändig för att enskilda ska kunna fullgöra en rättslig förpliktelse. Det är utredningens bedömning att det i registerför- fattningarna inte finns några bestämmelser som ens närmar sig gränsen för det otillåtna. Allmänt om befintliga bestämmelser Utredningens bedömning: Bestämmelser om registerförfatt- ningars syfte påverkas inte av dataskyddsförordningen. Dataskyddsförordningen syftar enligt artikel 1 till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. anges att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på be- handlingen av personuppgifter. Dataskyddsförordningen ska enligt skäl 10 säkerställa en enhetlig och hög skyddsnivå och undanröja hinder för flödet av personuppgifter inom EU. Medlemsstaterna tillåts dock att behålla eller införa nationell reglering för att när- mare fastställa hur dataskyddsförordningens bestämmelser ska tillämpas när det gäller behandling som sker med stöd av de rättsliga grunderna fullgörande av en rättslig förpliktelse och utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning som anges i artikel 6.1 c och e. I registerförfattningar förekommer ibland bestämmelser som anger det övergripande syftet med lagen. Sådana bestämmelser är ofta utformade på ett sätt som uttrycker den avvägning lagstiftaren gjort mellan intresset av skydd för den personliga integriteten och intresset av att den aktuella verksamheten ska kunna bedrivas på ett ändamålsenligt och effektivt sätt. Bestämmelser om syftet med en lag innehåller oftast inte någon materiell reglering utan utgör i stället en sorts förklaring till vad som är målet med lagens bestämmelser. Dataskyddsförordningen innehåller inte några bestämmelser som tar sikte på vilket syfte som anges för nationella bestämmelser som kompletterar förordningen. Eftersom bestämmelser om syftet med en viss lagstiftning sällan har någon materiell betydelse, finns det inte något som hindrar att den typen av bestämmelser behålls i den nationella lagstiftningen. Allmänt om befintliga bestämmelser Utredningens bedömning: Bestämmelser i registerförfattningar om inom vilken verksamhet samt på vilka typer av behandlingar och uppgifter författningen ska tillämpas påverkas inte av data- skyddsförordningen och bör inte ändras. Om registerförfattningen omfattar verksamhet som faller under tillämpningsområdet för det nya dataskyddsdirektivet, krävs det dock särskilda överväganden. Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Ett register är enligt definitionen i artikel 4.6 i data- skyddsförordningen en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktio- nella eller geografiska förhållanden. Med personuppgifter avses en- ligt artikel 4.1 i dataskyddsförordningen varje upplysning som av- ser en identifierad eller identifierbar fysisk person, varvid en identi- fierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift, online- identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekono- miska, kulturella eller sociala identitet. Tillämpningsområdet anges i dataskyddsdirektivet i relevanta delar på samma sätt som i dataskyddsförordningen. I 5 § personuppgiftslagen används inte begreppet register, utan en modifierad formulering av dataskyddsdirektivets definition av ett register, nämligen en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Enligt 3 § personuppgiftslagen avses med person- uppgifter all slags information som direkt eller indirekt kan hänfö- ras till en fysisk person som är i livet. Formuleringarna i person- uppgiftslagen är avsedda att motsvara vad som gäller enligt data- skyddsdirektivet. Allmänt om befintliga bestämmelser Registerförfattningarna omfattar i allmänhet samma typer av behandlingar och personuppgifter som dataskyddsdirektivet, person- uppgiftslagen och dataskyddsförordningen. är tillämpnings- området inskränkt till att avse bara viss typ av behandling, t.ex. automatiserad, eller typ av personuppgift och ibland är tillämp- ningsområdet utvidgat till att avse ytterligare uppgifter, t.ex. upp- gifter om avlidna eller juridiska personer. Registerförfattningar regle- rar vidare bara behandling inom en viss i författningen angiven verksamhet. Dataskyddsförordningen hindrar inte att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning. Frågor som ligger utanför dataskyddsförordningens tillämpningsområde kan således regleras i en författning som kompletterar dataskydds- förordningen och en sådan författning behöver inte reglera alla typer av behandlingar eller personuppgifter som dataskyddsförord- ningen reglerar. Det innebär att den nationella registerlagstiftningen för den verksamhet som regleras kan ha ett vidare eller snävare tillämpningsområde än dataskyddsförordningen och t.ex. omfatta sådan behandling som inte omfattas av dataskyddsförord- ningen samt uppgifter om avlidna personer. Att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter avseende avlidna personer framgår dessutom av skäl 27 till data- skyddsförordningen. De registerförfattningar som gäller för uppgifter om avlidna personer eller juridiska personer kan således även fortsättningsvis tillämpas på sådana uppgifter. Utredningens slutsats är alltså att bestämmelser i registerförfattningar som reglerar vilka typer av behandlingar och uppgifter författningen ska tillämpas på inte behöver ändras med anledning av dataskyddsförordningen. Även bestämmelser som styr vilken verksamhet författningen ska tillämpas på kan som regel behållas. Om författningen omfattar behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, kan dock en förändring av tillämp- ningsområdet krävas. Dataskyddsförordningen ska nämligen enligt artikel 2.2 d inte tillämpas på sådan behandling av personuppgifter. Sådan behandling omfattas i stället av det nya dataskyddsdirektivet. Det innebär att det finns myndigheter som kommer att behöva Allmänt om befintliga bestämmelser tillämpa regleringen i dataskyddsförordningen, jämte den kom- pletterande nationella lagstiftningen, för behandling av person- uppgifter i en del av verksamheten och den nationella reglering som genomför det nya dataskyddsdirektivet för behandling av person- uppgifter i en annan del av verksamheten. Det gäller framför allt myndigheterna inom rättskedjan men även andra myndigheter kan ha uppdrag som i någon del innebär brottsbekämpning, lagföring eller verkställighet av straffrättsliga påföljder. Inom Socialdeparte- mentets verksamhetsområde aktualiseras denna gränsdragning i samband med rättspsykiatrisk vård och viss vård inom som innebär att straffrättsliga påföljder verkställs.