sou · H5B339 · 2017-05-12 00:00:00 — Syftet med dataskyddsförordningen är att säkra en enhetlig och hög skyddsnivå för fysiska personer och att undanröja hinder för flödena av personuppgifter inom unionen. Det finns ingenting i data- skyddsförordningen som antyder att unionslagstiftaren har avsett att inskränka det materiella tillämpningsområdet för dataskyddsförord- ningen jämfört med direktivet. Även det förhållandet att reformen syftar till att personuppgiftsbehandlingen inom unionen ska harmo- niseras talar för att undantaget i artikel 2.2 a i dataskyddsförord- ningen inte bör ges en vidare innebörd än motsvarande bestämmelse i dataskyddsdirektivet. Sedan dataskyddsdirektivet antogs har fördragen ändrats och inne- håller numera en uttrycklig rättslig grund för antagandet av rättsakter till skydd för personuppgifter. Enligt artikel 16 i fördraget om Euro- peiska unionens funktionssätt har EU tilldelats befogenhet att fast- ställa bestämmelser om skydd för enskilda personer när det gäller behandling av personuppgifter i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Jämfört med vad som gällde enligt artikel 100a i fördraget om upprättandet av Europeiska gemenskapen har artikel 16 i fördraget om Europeiska unionens funk- SOU 2017:39 Behandling av personuppgifter utanför dataskyddsförordningens tillämpningsområde tionssätt utvidgat EU:s befogenheter att anta rättsakter för att skydda personuppgifter inom unionen.3 Det faktum att den nya rättsliga grunden för antagandet av unions- rättslig reglering om dataskydd uttryckligen undantar sådan verksam- het som faller utanför unionsrättens tillämpningsområde talar å andra sidan mot att tolka bestämmelsen i artikel 2.2 a i dataskyddsförord- ningen på samma sätt som artikel 3.2 i dataskyddsdirektivet. Därtill kommer att artikel 2.2 i förordningen har en annan utformning än artikel 3.2 i dataskyddsdirektivet. Den exemplifiering som EU-dom- stolen byggt sitt resonemang om vad som faller utanför gemen- skapsrätten på, finns inte i förordningen. Även detta medför att det inte är självklart att bestämmelserna ska tolkas på samma sätt. Exakt vilka verksamheter som faller utanför unionsrättens tillämp- ningsområde och därmed inte omfattas av förordningens bestäm- melser om behandling av personuppgifter är således oklart, förutom när det gäller sådan verksamhet rörande nationell säkerhet som uttryckligen nämns i skälen. Det är dock enligt vår bedömning rim- ligt att anta att det inom den offentliga sektorn också finns annan verksamhet som på samma sätt som nationell säkerhet kan betraktas som en strikt nationell angelägenhet och därför faller utanför unions- rättens tillämpningsområde även vid en restriktiv tolkning av undan- taget från förordningens tillämpningsområde. 6.4.2Ska förordningens bestämmelser göras gällande utanför deras tillämpningsområde? Frågan är då om dataskyddsförordningens bestämmelser borde gälla även vid sådan behandling av personuppgifter som enligt artikel 2.2 a och 2.2 b inte omfattas av förordningens tillämpningsområde. Enligt vår bedömning är det sannolikt bara i den offentliga sektorn som det skulle kunna förekomma verksamhet som faller utanför unionsrättens tillämpningsområde i den mening som avses i arti- kel 2.2 a och där behandling av personuppgifter därmed inte skulle omfattas av dataskyddsförordningens direkt tillämpliga bestämmel- ser. Det är dessutom bara myndigheter och beslutande politiska för- 2007/08:168 s. 52. Behandling av personuppgifter utanför dataskyddsförordningens tillämpningsområde samlingar som deltar i den gemensamma utrikes- och säkerhetspoli- tiken, som avses i artikel 2.2 b. Någon unionsrättslig allmänt gällande princip som innebär att en medlemsstat inte, med stöd av sin nationella kompetens, kan utvidga tillämpningsområdet för en EU-förordning finns inte. Det finns alltså inga formella hinder mot att utvidga tillämpningsområdet för data- skyddsförordningens bestämmelser till att omfatta även sådan per- sonuppgiftsbehandling som faller utanför unionsrättens tillämpnings- område.4 När personuppgiftslagen antogs gjordes den generellt tillämplig. Anledningen till att denna lösning valdes var som ovan angetts bland annat att det ansågs särskilt viktigt med ett starkt integritetsskydd för personuppgifter inom all offentlig verksamhet. Dessa motiv är allt- jämt aktuella. har vidare, i enlighet med vad som anges i avsnitt 3.2 och 3.3, genom att anta bland annat dataskyddskonvention, gjort vissa internationella åtaganden att skydda enskilda individers personliga integritet. För att säkerställa att det inom varje verksamhet finns ett fullgott skydd anser vi att förordningens bestämmelser om behandling av personuppgifter bör utsträckas till att gälla generellt. Vi anser att detta är ett bättre alternativ än att införa en komplett nationell dataskyddsreglering för verksamhet som inte omfattas av förordningens tillämpningsområde. Det skulle leda till att vissa myn- digheter för sin personuppgiftsbehandling skulle tvingas tillämpa två parallella regelverk, förutom eventuellt förekommande sektorsspeci- fika författningar. Dataskyddsförordningen bör därför, i tillämpliga delar, genom dataskyddslagen utsträckas till att gälla även vid sådan behandling av personuppgifter som enligt artikel 2.2 a och b inte omfattas av dataskyddsförordningens tillämpningsområde. Det är inte möjligt att i nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten. Det är därför inte möjligt att göra de bestämmelser som ålägger tillsyns- myndigheterna en skyldighet att samarbeta tillämpliga genom en bestämmelse i dataskyddslagen. Inte heller är det i nationell rätt möj- ligt att ge den europeiska dataskyddsstyrelsen behörighet att t.ex. ut- färda riktlinjer och rekommendationer inom det område där EU inte har befogenheter i enlighet med fördragen. Det är inte heller möjligt 4 Jfr prop. 2010/11:80 s. 59 f. SOU 2017:39 Behandling av personuppgifter utanför dataskyddsförordningens tillämpningsområde att ge kommissionen rätt att anta delegerade akter. Kapitel VII och kapitel X i dataskyddsförordningen kan därför inte göras tillämpliga genom en reglering i dataskyddslagen. Det kan även i övrigt finnas bestämmelser i dataskyddsförordningen som inte kan tillämpas i rent nationell verksamhet. Det får därför i varje enskilt fall göras en bedömning av om förordningens bestämmelser går att tillämpa. har inte överlåtit beslutskompetens till EU inom de om- råden där dataskyddsförordningens bestämmelser ska gälla enligt vårt förslag i denna del. Om förordningen ändras bör därför den svenska lagstiftaren ta ställning till om dessa ändringar ska få genomslag även på de områden som är undantagna från förordningens tillämpnings- område. Hänvisningen till förordningen i den nu aktuella bestämmel- sen i dataskyddslagen bör därför vara statisk, dvs. avse den ursprung- liga lydelsen av förordningen. I avsnitt 5.2.3 har vi föreslagit att dataskyddslagen ska vara sub- sidiär till avvikande bestämmelser i annan lag eller i förordning. Det är således möjligt att genom sektorsspecifik författning göra undantag från den föreslagna bestämmelsen om utsträckt tillämpning av data- skyddsförordningens bestämmelser.5 6.4.3Vem ska utöva tillsyn? Utredningen om tillsynen över den personliga integriteten har före- slagit att Datainspektionen ska utses till svensk tillsynsmyndighet enligt dataskyddsförordningen och att detta ska regleras i inspek- tionens myndighetsinstruktion.6 Vi utgår i vårt betänkande från att regeringen kommer att besluta i enlighet med det förslaget. Enligt vår bedömning bör en sådan reglering, uttryckligen eller underförstått, medföra att Datainspektionen ska utöva tillsyn även i fråga om efter- levnaden av bestämmelser i nationella författningar som kompletterar dataskyddsförordningen. Vi föreslår ovan att dataskyddsförordningens bestämmelser i tillämpliga delar ska gälla även i verksamhet utanför unionsrättens tillämpningsområde och vid deltagande i den gemensamma utrikes- och säkerhetspolitiken. Det innebär i praktiken att data- 5Jfr 1 kap. 1 § andra stycket lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. 6SOU 2016:65 s. 142 f. Behandling av personuppgifter utanför dataskyddsförordningens tillämpningsområde skyddsförordningen i dessa delar ska gälla utanför dess egentliga tillämpningsområde. Det är mot denna bakgrund inte självklart att en reglering i myndighetsinstruktionen, som i enlighet med det nämnda förslaget anger att Datainspektionen är tillsynsmyndighet enligt data- skyddsförordningen, även skulle anses omfatta tillsyn över behand- ling av personuppgifter som sker inom det område där förordningen fått utsträckt tillämpningsområde genom dataskyddslagen. Enligt vår mening bör behandling av personuppgifter utanför dataskyddsförordningens egentliga tillämpningsområde stå under samma tillsyn som sådan behandling som sker med direkt tillämpning av förordningens bestämmelser. Huvudregeln bör vara att det också är samma myndighet som utövar denna tillsyn. Vi föreslår därför att det i förordningen till dataskyddslagen anges att Datainspektionen är tillsynsmyndighet enligt dataskyddslagen. Av tydlighetsskäl bör denna bestämmelse även informera om att Datainspektionen är till- synsmyndighet enligt dataskyddsförordningen. För det fall att reger- ingen, under beredningen av detta betänkande och av SOU 2016:65, skulle finna att regleringen av Datainspektionens tillsynsansvar i stäl- let ska samlas i myndighetsinstruktionen, kan den bestämmelse som vi föreslår i denna del utgå. 7Förhållandet till yttrande- och informationsfriheten Regeringen bedömer i kommittédirektiven att det genom dataskydds- förordningens artiklar 85 och 86 blir tydligare än i det nuvarande dataskyddsdirektivet att den EU-rättsliga dataskyddsregleringen inte inkräktar på området för tryckfrihetsförordningen och yttrandefri- hetsgrundlagen. Det ingår därför inte i utredningens uppdrag att överväga eller lämna förslag till grundlagsändringar. I detta samman- hang bör det noteras att det inte heller ingår i utredningens uppdrag att lämna några förslag som rör handlingsoffentligheten eller att när- mare analysera innebörden av artikel 86. Regeringen menar att det – utanför tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområde – även fortsättnings- vis bör finnas behov av bestämmelser som i likhet med 7 § andra stycket PUL balanserar personuppgiftsskyddet mot yttrande- och informationsfriheten. Vårt uppdrag är därför att analysera hur bestämmelser som balan- serar personuppgiftsskyddet mot yttrande- och informationsfriheten utanför tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområde bör utformas. Enligt artikel 9 i dataskyddsdirektivet ska medlemsstaterna besluta om undantag och avvikelser från delar av direktivet med avseende på behandling av personuppgifter som sker uteslutande för journa- listiska ändamål eller konstnärligt eller litterärt skapande, om det är Förhållandet till yttrande- och informationsfriheten nödvändigt för att förena rätten till privatlivet med reglerna om ytt- randefriheten. I 7 § första stycket PUL finns en upplysningsbestämmelse om att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfri- hetsförordningen och yttrandefrihetsgrundlagen. Det innebär bland annat att de grundlagsskyddade rättigheterna att framställa och sprida yttranden samt meddelar- och anskaffarfriheten undantas från till- lämpningsområdet. I förarbetena gjordes den bedömningen att artikel 9 i direktivet tillåter ett hänsynstagande till bland annat konstitutionella traditioner och principer och att direktivet därför inte lägger hinder i vägen för ett generellt undantag från personuppgiftslagens bestämmelser. Regeringen uppmanade vidare till stor försiktighet vid alla ingripan- den som riktar sig mot företeelser som typiskt sett åtnjuter skydd av grundlagarna. Det ansågs att även ingripanden som inte direkt strider mot någon bestämmelse, men som är oförenliga med grundlagarnas syfte, bör underlåtas.1 Lagrådet avstyrkte bestämmelsen i 7 § första stycket med motive- ringen att det fick anses tveksamt om dåvarande skulle acceptera att de bestämmelser i direktivet som införlivades genom personuppgiftslagen fick vika i vidare mån än vad som framgick av ordalydelsen i direktivets artikel 9.2 I 7 § andra stycket PUL görs undantag från flertalet av lagens bestämmelser vid personuppgiftsbehandling som inte omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen men som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Undantaget innebär i praktiken att bara de bestäm- melser i lagen som rör tillsyn och säkerhet vid behandling ska tilläm- pas. Frågan om tolkningen av begreppet journalistiska ändamål har prövats i praxis både nationellt och på EU-nivå. I den så kallade Ramsbro-domen (NJA 2001 s. 409) uttalade bland annat att undantaget för journalistiska ändamål utgör ett försök att i mer generella termer ge uttryck för en intresseavvägning mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. 1997/98:44 s. 50 f. 1997/98:44 s. 236 f. Förhållandet till yttrande- och informationsfriheten uttrycket journalistiska ändamål använts kan enligt domstolen under sådana förhållanden inte antas vara i avsikt att privilegiera etablerade massmedier eller personer som är yrkesverksamma inom sådana medier, utan får antas vara avsett att betona vikten av en fri infor- mationsspridning i frågor av betydelse för allmänheten eller för grup- per av människor och en fri debatt i samhällsfrågor. Ramsbro-domen har i doktrinen ansetts visa att en betydande del av det som sker på internet omfattas av undantaget i 7 § andra stycket PUL.3 I domen i det så kallade Satakunnan-målet4 uttalade EU-dom- stolen att de begrepp som hör samman med yttrandefriheten, där- ibland journalistik, måste tolkas vitt. Domstolen fann därför att den verksamhet som företaget bedrev −dvs. att uppgifter om fysiska personers inkomster och förmögenheter samlades in från offentliga källor, sorterades, publicerades i tryck och distribuerades via en sms-tjänst − skulle anses ske uteslutande för journalistiska ändamål om verksamheten endast syftade till att sprida information, åsikter eller idéer till allmänheten. uttalade vidare att sådan verksamhet inte bara skulle anses förbehållen medieföretag. överlät dock till den nationella domstolen att avgöra om det i just Satakunnan-fallet var fråga om en verksamhet som endast syftade till att sprida information till allmänheten. Den finska ansåg att så inte var fallet (23.9.2009/ 2303 HFD 2009:82).5 Undantaget för journalistiska ändamål är alltså inte begränsat till journalister eller traditionella massmedier. Även en privatperson kan anses behandla personuppgifter för sådana ändamål, t.ex. på en blogg, förutsatt att uppgifterna inte är av rent privat karaktär. 3Öman och , Personuppgiftslagen, (, Zeteo), kommentaren till 7 § PUL. , Personuppgiftslagen och yttrandefriheten, SvJT (jubileumsskrift) s. 447. 4Dom och , C-73/07, EU:C:2008:727. 5Saken är dock fortfarande föremål för prövning, nu i , Satakunnan Markinnapörsi OY och Satamedia OY v. , nr 931/13, dom , hänskju- ten till Grand Chamber . Förhållandet till yttrande- och informationsfriheten Enligt artikel 85.1 i dataskyddsförordningen ska medlemsstaternas nationella lagstiftning förena rätten till skydd av personuppgifter i enlighet med förordningen med rätten till yttrande- och informa- tionsfrihet, inbegripet personuppgiftsbehandling för journalistiska ändamål samt för akademiskt, konstnärligt eller litterärt skapande. När det gäller behandling för sådana ändamål ska medlemsstaterna enligt artikel 85.2 föreskriva om undantag eller avvikelser från i artikeln angivna delar av förordningens bestämmelser om det behövs för att förena rätten till skydd för personuppgifter med yttrande- och informationsfriheten. Medlemsstaterna ska enligt artikel 85.3 under- rätta kommissionen om de undantagsbestämmelser som de har antagit med stöd av artikel 85.2. I skäl 153 anges att behandling av personuppgifter endast för journalistiska, akademiska, konstnärliga eller litterära ändamål bör undantas från viss tillämpning för att förena rätten till skydd för per- sonuppgifter med rätten till yttrande- och informationsfrihet som följer av artikel 11 i EU:s stadga om de grundläggande rättigheterna. Av nämnda artikel i stadgan framgår att var och en har rätt till yttrandefrihet, att denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan offentlig myndighets inblandning och oberoende av territoriella gränser. Artikeln slår också fast att mediernas frihet och mångfald ska respekteras. I förordningens skäl 153 anges också att medlemsstaterna bör anta lagstiftningsåtgärder som fastställer de olika undantag som behövs för att balansera de två grundläggande rättigheterna, samt att det bör göras en bred tolkning av vad som innefattas i yttrandefriheten. 7.4Våra överväganden och förslag Utredningens förslag: En upplysningsbestämmelse som tydliggör att bestämmelserna i dataskyddslagen och dataskyddsförordning- en inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsför- ordningen eller yttrandefrihetsgrundlagen, ska tas in i dataskydds- lagen. Förhållandet till yttrande- och informationsfriheten Ett undantag för sådan behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande ska också införas. Dataskyddsförordning- ens bestämmelser om syfte, tillämpningsområde och definitioner samt bestämmelser om säkerhet för personuppgifter, tillsyn, rätts- medel, ansvar och sanktioner ska dock tillämpas även i dessa fall. Något om vårt uppdrag Våra detaljerade tryck- och yttrandefrihetsgrundlagar är unika i jämförelse med hur motsvarande reglering ser ut i övriga . Relationen såväl mellan och de svenska tryck- och ytt- randefrihetsgrundlagarna, som mellan tryck- och yttrandefrihets- grundlagarna och den personliga integriteten, har varit föremål för debatt och en rad utredningar på senare år.6 För en genom- förd genomgång av förhållande till grundlagsregleringen om tryck- och yttrandefrihet hänvisas till Mediegrundlagskom- mitténs betänkande SOU 2016:58, avsnitt 5.4 och 14.1. I vår utrednings uppdrag ingår inte att närmare analysera förhål- landet mellan grundlagsskyddet för informations- och yttrande- friheten och rätten till skydd av personuppgifter enligt dataskydds- förordningen. Följaktligen är det inte heller vår uppgift att föreslå bestämmelser som påverkar balansen mellan dessa grundläggande fri- och rättigheter, exempelvis förändrade förutsättningar för jour- nalister, bloggare och innehavare av utgivningsbevis att behandla personuppgifter. Vårt uppdrag är i stället att analysera hur vi i svensk rätt ska genomföra skyldigheten i förordningens artikel 85 att förena rätten till integritet med yttrande- och informationsfriheten, utan att i sak förändra möjligheterna till behandling av personuppgifter. Uppdraget är begränsat till hur en reglering som balanserar personuppgifts- skyddet mot yttrande- och informationsfriheten utanför tryckfrihets- förordningens och yttrandefrihetsgrundlagens tillämpningsområde 6 Tryck- och yttrandefrihetsberedningen i SOU 2006:96, i SOU 2012:55 och i SOU 2016:58. Se även Integritet och straff- skydd, SOU 2016:7. Debatt har förts i SvJT ; se och i SvJT 2014, s. 201 och 2015, s. 8, i SvJT 2014, s. 440 samt i SvJT 2014, s. 520 och 2015, s. 199. Förhållandet till yttrande- och informationsfriheten SOU 2017:39 bör utformas, dvs. en reglering som motsvarar den i 7 § andra stycket PUL. Utgångspunkter för utredningens överväganden Som framgår ovan är en utgångspunkt att vi ska undvika att föreslå förändringar i sak när det gäller förutsättningar för personupp- giftsbehandling på det här aktuella området. Regleringen i förordningen ligger i sak nära den som finns i data- skyddsdirektivet. Förordningens reglering av förhållandet till yttran- de- och informationsfriheten innebär inte några inskränkningar utan ger till sin ordalydelse ett något större utrymme för undantag än direktivet, bland annat på det sättet att det inte längre föreskrivs att behandling ska ske ”uteslutande” för journalistiska ändamål för att undantag ska kunna göras. Undantaget i artikel 85.2 har också fått ett vidare tillämpningsområde genom att akademiskt skapande lagts till. Dessutom uttalas i skäl 153 att begreppet yttrandefrihet ska ges en bred tolkning. I doktrinen har artikel 85 ansetts ge ett relativt stort utrymme för medlemsstaterna att själva välja hur regleringen utfor- mas.7 Mot denna bakgrund är vår bedömning att den reglering vi före- slår kan och bör utformas med den befintliga regleringen i 7 § PUL som förebild. Behovet av en upplysningsbestämmelse Som framgår av kommittédirektiven har vi inte i uppdrag att föreslå någon författningsreglering som rör förordningens förhållande till behandling som sker i verksamhet som omfattas av tillämpnings- området för tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Vi anser dock att det är angeläget att dataskyddsförordningens och dataskyddslagens bestämmelser inte ger upphov till osäkerhet kring möjligheterna till personuppgiftsbehandling på det grundlagsregle- rade området, eftersom det kan påverka vitala och mycket känsliga delar av opinionsskapande verksamhet, såsom meddelarfrihet och 7 och , National Legislation within the Framework of the GDPR, 3/2016, s. 356. Förhållandet till yttrande- och informationsfriheten Det faktum att vi nu har att göra med en direkt tillämplig förordning, där överträdelser kan leda till kännbara sanktionsavgifter, gör det än mer angeläget att regleringen av den grundlagsskyddade verksamheten är så tydlig som möjligt när det gäller förhållandet till tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Den befintliga upplysningsbestämmelsen i 7 § första stycket PUL bedömdes av riksdag och regering som förenlig med dataskydds- direktivets likartade bestämmelser vid införandet av personupp- giftslagen.8 Den har inte varit föremål för domstolsprövning och heller inte ifrågasatts av kommissionen sedan införandet . Eftersom förordningen, som nämnts ovan, tycks ge ett ökat utrymme för undantag med hänsyn till yttrande- och infor- mationsfriheten bedömer vi att förordningen inte hindrar att en upp- lysningsbestämmelse motsvarande den i 7 § första stycket PUL införs i dataskyddslagen. Undantag för journalistiska ändamål m.m. Ordalydelsen i förordningens artikel 85.2 synes ålägga medlems- staterna att göra vissa undantag från förordningen för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Undantag får dock bara göras om de är nöd- vändiga för att förena rätten till integritet med yttrande- och informa- tionsfriheten. Samma krav på nödvändighet finns i direktivet, och den befintliga bestämmelsen i 7 § andra stycket PUL bedömdes vara nödvändig för att personuppgiftslagens bestämmelser skulle vara för- enliga med yttrande- och informationsfriheten. Begreppet akademiskt skapande är nytt och definieras inte när- mare i skäl eller artikeltext. Vår bedömning är att det knappast torde vara att likställa med forskning, eftersom forskning är särreglerad på annat sätt i förordningen, exempelvis i artikel 9.2 j och artikel 89. Möjligen skulle behandling i samband med själva färdigställandet och spridningen av texter med vetenskapligt innehåll kunna avses. Inne- börden av begreppet är dock oklar och dess närmare betydelse får utvecklas i praxis. 1997/98 44 s. 48 f., bet. 1997/98:KU18, rskr.1997/98:180.