sou · H5B329 · 2017-04-05 00:00:00 — ska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels säkerställa att, när det krävs utbyte av personuppgifter inom unionen mellan behöriga myndig- heter, detta utbyte varken begränsas eller förbjuds av hänsyn till skyddet för fysiska personer mot behandling av personuppgifter. Det slås också fast att direktivet inte hindrar att medlemsstaterna föreskriver strängare skyddsåtgärder när det gäller registrerades rättigheter och friheter. Artikel 2 anger direktivets tillämpningsområde. Direktivet ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1. Direktivet ska tillämpas dels på helt eller delvis automatiserad behandling av per- sonuppgifter, dels på annan behandling av personuppgifter som ingår i eller kommer att ingå i register. Däremot ska direktivet inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller på personupp- giftsbehandling som utförs av unionens institutioner eller andra organ. Artikel 3 innehåller definitioner. Där anges bl.a. vad som avses med personuppgift, behandling, register, behörig myndighet, per- sonuppgiftsansvarig, personuppgiftsbiträde och personuppgiftsin- cident. Vidare definieras genetiska och biometriska uppgifter. Principer – artiklarna 4–11 I artikel 4 anges grundläggande principer för behandling av person- uppgifter. –behandlas på ett lagligt och korrekt sätt, –samlas in för särskilda, uttryckligt angivna och berättigade ända- mål och inte behandlas på ett sätt som står i strid med dessa än- damål, –vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas, –vara korrekta och, om nödvändigt, uppdaterade, –inte möjliggöra identifiering av den registrerade än nödvändigt, och –behandlas på ett sätt som säkerställer säkerheten för uppgif- terna. Behandling för något annat ändamål som anges i artikel 1.1 än det för vilket uppgifterna samlades in är tillåten om den personupp- giftsansvarige har rätt att behandla personuppgifter för ett sådant ändamål och behandlingen är nödvändig och står i proportion till det nya ändamålet. Behandlingen kan inkludera arkivändamål som är av allmänt intresse och vetenskaplig, statistisk eller historisk användning för de ändamål som anges i artikel 1.1, om det finns lämpliga skyddsåtgärder. Enligt artikel 5 ska lämpliga tidsgränser föreskrivas för när per- sonuppgifter ska raderas eller för regelbunden översyn av behovet av att lagra sådana uppgifter. Det ska finnas regler för att säkerställa att tidsgränserna hålls. Enligt artikel 6 ska den personuppgiftsansvarige så långt möjligt göra åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, som misstänkta, dömda, brottsoffer och andra som berörs av brott, exempelvis personer som kan komma att kallas som vittnen. I artikel 7 föreskrivs att åtskillnad så långt möjligt ska göras mellan personuppgifter som grundar sig på fakta och uppgifter som grundar sig på personliga bedömningar. Behöriga myndigheter ska vidta alla rimliga åtgärder för att se till att personuppgifter som är felaktiga, ofullständiga eller inaktuella inte överförs eller görs till- gängliga. Om felaktiga personuppgifter har överförts eller person- uppgifter överförts olagligen ska mottagaren underrät- tas om det. I sådana fall ska personuppgifterna rättas eller raderas eller behandlingen av dem begränsas. Enligt artikel 8 är behandling laglig endast om och i den ut- sträckning behandlingen är nödvändig för att behöriga myndighe- ter ska kunna utföra sådana uppgifter som anges i artikel 1.1 och som grundas på unionsrätt eller nationell rätt. Den nationella rätten ska åtminstone specificera syftet med behandlingen, vilka person- uppgifter som ska behandlas och ändamålet med behandlingen. I artikel 9 föreskrivs att personuppgifter som samlats in för något av de i direktivet angivna ändamålen inte får behandlas för något annat ändamål om inte sådan behandling är tillåten enligt unionsrätten eller nationell rätt. När personuppgifter behandlas för andra ändamål än dem som anges i artikel 1.1 ska dataskyddsför- ordningen tillämpas, såvida inte behandlingen utförs som ett led i en verksamhet som inte omfattas av unionsrätten. Om de behöriga myndigheterna har andra uppgifter än dem som anges i artikel 1.1, ska dataskyddsförordningen tillämpas på behandling för sådana ändamål. Det gäller även behandling för arkivändamål som är av allmänt intresse eller för statistiska, historiska eller vetenskapliga ändamål. I artikeln anges också vad som gäller för överföring av uppgifter för behandling för andra ändamål. Artikel 10 reglerar behandling av det som brukar kallas känsliga personuppgifter. Med det avses uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Regleringen omfattar även behandling av genetiska uppgifter, biometriska uppgifter i identifieringssyfte eller uppgifter om hälsa, sexualliv eller sexuell läggning. Behandling av sådana uppgifter är bara tillåten om den är absolut nödvändig, det finns tillräckliga skyddsåtgärder och behandlingen är tillåten enligt unionsrätt eller nationell rätt för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person eller om det är fråga om uppgifter som den regist- rerade själv har offentliggjort. I artikel 11 förbjuds att beslut, som har negativa rättsverkningar eller i betydande grad påverkar den registrerade, fattas om de en- bart grundas på automatiserad behandling, såvida inte de är tillåtna enligt unionsrätten eller nationell rätt och det finns lämpliga skyddsåtgärder. Profilering som leder till diskriminering på grund- val av känsliga personuppgifter ska förbjudas. Den registrerades rättigheter – artiklarna 12–18 Enligt artikel 12 ska den personuppgiftsansvarige utan kostnad lämna den registrerade information om hans eller hennes rättighe- ter. Informationen ska vara koncis, lättillgänglig och språkligt lätt- fattlig. Den personuppgiftsansvarige ska utan onödigt dröjsmål skriftligen besvara en begäran från den registrerade om information om hur hans eller hennes personuppgifter behandlas. Om en regi- strerads begäran är uppenbart ogrundad eller orimlig får den per- sonuppgiftsansvarige antingen ta ut en avgift eller vägra tillmötesgå begäran. I artikel 13 anges vilken information som alltid måste göras till- gänglig för den registrerade. Det är den personuppgiftsansvariges identitet och kontaktuppgifter, dataskyddsombudets kontaktupp- gifter, ändamålen med den avsedda behandlingen, rätten att klaga till en tillsynsmyndighet och dess kontaktuppgifter och rätten att begära att få del av personuppgifter, rättelse, radering eller begräns- ning av behandlingen. Därutöver ska den personuppgiftsansvarige i specifika fall lämna viss annan information för att göra det möjligt för den registrerade att utöva sina rättigheter. Artikel 14 behandlar den registrerades rätt till tillgång till per- sonuppgifter. Om inte annat sägs i artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på om per- sonuppgifter som rör honom eller henne behandlas och, om så är fallet, få tillgång till personuppgifterna och följande information: –ändamålen med behandlingen och den rättsliga grunden, –vilka kategorier av personuppgifter som behandlas, –vilka mottagare eller kategorier av mottagare som har fått per- sonuppgifterna, –hur länge uppgifterna kommer att lagras eller, om det inte är möjligt, kriterierna för att fastställa lagringstiden, –rätten att begära rättelse, radering eller begränsning av behand- lingen, och –rätten att klaga hos en tillsynsmyndighet och dess kontaktupp- gifter. Enligt artikel 15 får medlemsstaterna genom lagstiftning, så länge åtgärden är nödvändig och proportionell, helt eller delvis begränsa den registrerades rätt till tillgång till personuppgifter och infor- mation i syfte att undvika att förundersökningar och andra utred- ningar eller förfaranden, brottsbekämpande åtgärder, lagföring eller verkställighet av straffrättsliga påföljder försvåras eller i syfte att skydda allmän säkerhet, nationell säkerhet eller andra personers rättigheter och friheter. Artikel 16 behandlar rätten till rättelse eller radering av person- uppgifter eller begränsning av behandlingen och vilka skyldigheter den personuppgiftsansvarige har i sådana frågor. Den registrerade ska ha rätt att utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen ska den registrerade även kunna få ofullständiga personuppgifter kompletterade. I vissa fall ska den registrerade även ha rätt att få personuppgifter raderade. I stället för att radera personuppgifterna ska den personuppgiftsansvarige i vissa fall be- gränsa behandlingen av uppgifterna. Enligt artikel 17 ska den registrerades rättigheter även kunna ut- övas genom den behöriga tillsynsmyndigheten om tillgången till information har begränsats. I artikel 18 öppnas möjlighet att föreskriva att rätten till infor- mation, tillgång till uppgifter, rättelse, radering och begränsning av behandling ska utövas enligt nationell rätt om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll eller ärende som behandlas i samband med brottsutredning och straffrättsliga förfaranden. Av skäl 107 framgår att direktivet inte hindrar att det i nationell straffprocesslagstiftning finns bestämmelser om den registrerades rätt till information, tillgång till och rättelse eller radering av per- sonuppgifter och begränsning av behandling i samband med straff- rättsliga förfaranden och begränsningar i dessa rättigheter. Personuppgiftsansvarig och personuppgiftsbiträde – artiklarna 19–28 Den personuppgiftsansvarige ska enligt artikel 19 vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med direktivet. Artikel 20 behandlar inbyggt dataskydd och dataskydd som standard. Artikel 21 öppnar en möjlighet att låta två eller flera personupp- giftsansvariga ha gemensamt personuppgiftsansvar för ett register. I artikel 22 regleras vilka krav som ställs när en personuppgifts- ansvarig anlitar ett personuppgiftsbiträde. Som huvudregel får ett personuppgiftsbiträde enligt artikel 23 bara behandla uppgifter en- ligt instruktioner från den personuppgiftsansvarige. Artikel 24 innehåller detaljerade regler om personuppgiftsansva- rigas skyldighet att föra register över olika typer av behandlingar. I artikel 25 ställs krav på att det ska finnas loggar över olika typer av behandling i automatiserade behandlingssystem. Registren och loggarna ska på begäran göras tillgängliga för tillsynsmyndigheten. Enligt artikel 26 ska personuppgiftsansvariga och personupp- giftsbiträden på begäran samarbeta med tillsynsmyndigheten. I artikel 27 ställs krav på att den personuppgiftsansvarige gör en förhandsbedömning av behandlingens konsekvenser för skyddet av personuppgifter när det gäller en ny typ av behandling som sanno- likt leder till hög risk för fysiska personers rättigheter och friheter. Artikel 28 ställer krav på att den personuppgiftsansvarige under vissa förutsättningar ska samråda med tillsynsmyndigheten innan nya register inrättas. Säkerhet för personuppgifter – artiklarna 29–31 Artikel 29 innehåller krav på säkerhet i samband med behandlingen av personuppgifter. Den personuppgiftsansvarige och personupp- giftsbiträdet ska – med beaktande av bl.a. kostnaderna och behand- lingens art, omfattning och ändamål – vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa lämplig säkerhetsnivå. Säkerheten ska omfatta åtkomstskydd för utrustning, kontroll av datamedier, lagringskontroll, användarkontroll, åtkomstkontroll, kommunikationskontroll, indatakontroll, transportkontroll, åter- ställande, driftsäkerhet och dataintegritet. I artikel 30 regleras den personuppgiftsansvariges skyldigheter om det inträffar en personuppgiftsincident. En sådan ska anmälas till tillsynsmyndigheten utan dröjsmål och enligt huvudregeln se- nast efter att den personuppgiftsansvarige har fått kän- nedom om incidenten. I artikeln anges också vad en sådan anmälan ska innehålla och vilken dokumentation om incidenten som krävs. Artikel 31 innehåller regler om information till den registrerade om en personuppgiftsincident och i vilka fall det inte krävs någon sådan information. Dataskyddsombud – artiklarna 32–34 Enligt artikel 32 ska den personuppgiftsansvarige utnämna ett data- skyddsombud. Undantag får göras för domstolars och andra obe- roende rättsliga myndigheters dömande verksamhet. Flera myndig- heter får ha samma dataskyddsombud. Ombudets kontaktuppgifter ska dels offentliggöras, dels meddelas till tillsynsmyndigheten. Enligt artikel 33 ska den personuppgiftsansvarige säkerställa att dataskyddsombudet kan delta i frågor som rör skyddet av person- uppgifter och stödja dataskyddsombudet i hans eller hennes upp- gifter. Dataskyddsombudets uppgifter anges i artikel 34. I uppgifterna ingår bl.a. att informera och ge råd till den personuppgiftsansvarige och de anställda som behandlar personuppgifter, att övervaka att direktivet efterlevs och att samarbeta med och vara en kontakt- punkt för tillsynsmyndigheten. Överföring av personuppgifter till tredjeländer eller internationella organisationer – artiklarna 35–40 I artikel 35 anges allmänna principer för överföring av personupp- gifter till tredjeland och internationella organisationer. Där före- skrivs bl.a. att överföringen ska vara nödvändig för något av de ändamål som anges i artikel 1.1 och att den ska riktas till en person- uppgiftsansvarig i ett tredjeland eller en internationell organisation som är behörig för sådana ändamål. Om uppgifterna kommer från en annan medlemsstat ska den enligt huvudregeln ge förhandstill- stånd till överföringen. Artikel 36 reglerar överföring till mottagare i tredjeland eller internationella organisationer som enligt kommissionens beslut har en adekvat skyddsnivå. Sådana överföringar kräver inte särskilt till- stånd. Även om det inte finns något beslut om en adekvat skyddsnivå får, enligt artikel 37, uppgifter överföras till mottagare i ett tredje- land eller en internationell organisation om lämpliga skyddsåtgär- der kan säkerställas i ett enskilt fall. I artikel 38 görs också undantag för överföring i särskilda situa- tioner, bl.a. för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller ett tredjeland. Artikel 39 reglerar överföring direkt till vissa mottagare som inte är behöriga myndigheter. Kommissionen och medlemsstaterna åläggs i artikel 40 att bl.a. utveckla rutiner för det internationella samarbetet för att underlätta en effektiv tillämpning av lagstiftningen om skydd för personupp- gifter och att också erbjuda bistånd till tredjeland och internatio- nella organisationer i det syftet. Oberoende tillsynsmyndigheter – artiklarna 41–51 Enligt artikel 41 ska varje medlemsstat utse en eller flera myndig- heter som ska vara ansvariga för att övervaka tillämpningen av direktivet. Samma myndighet som har utsetts till tillsynsmyndighet enligt dataskyddsförordningen får utses att vara tillsynsmyndighet enligt direktivet. ska enligt artikel 42 vara fullständigt obe- roende när den utför sina uppgifter och utövar sina befogenheter enligt direktivet. I artikeln utvecklas vilka krav som ska vara upp- fyllda för att myndigheten ska anses vara oberoende. De som ska leda tillsynsmyndigheten ska enligt artikel 43 utses genom ett öppet förfarande av parlamentet, regeringen, statschefen eller ett oberoende organ. I artikeln anges också i vilka situationer de som ska leda myndigheten ska lämna sina uppdrag eller avsättas. Enligt artikel 44 ska inrättandet av myndigheten och regler och förfaranden för bl.a. tillsättning av dem som ska leda myndigheten föreskrivas i författning. och dess personal, inkluderande de som ska leda myndigheten, ska ha tystnadsplikt. behörighet regleras i artikel 45. Tillsyns- myndigheten ska utföra de uppgifter och ha de behörigheter som framgår av direktivet. Tillsynen ska dock inte omfatta tillsyn över domstolarna i deras dömande verksamhet. Medlemsstaterna får undanta även andra oberoende rättsliga myndigheter som behand- lar personuppgifter inom ramen för sin rättsliga verksamhet från tillsyn. uppgifter räknas upp i artikel 46. Till upp- gifterna hör bl.a. att övervaka tillämpningen av de bestämmelser som antas i enlighet med direktivet, att ge råd till lagstiftande organ i frågor som rör personuppgiftsbehandling, att på begäran ge regi- strerade information om hur de ska kunna utöva sina rättigheter enligt direktivet och att avgiftsfritt behandla klagomål från registre- rade. Om en begäran är uppenbart ogrundad eller orimlig får dock tillsynsmyndigheten ta ut avgift eller vägra att tillmötesgå begäran. befogenheter anges i artikel 47. Tillsyns- myndigheten ska ha rätt att från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter som be- handlas och få all information som myndigheten behöver för att kunna fullgöra sina uppgifter. ska vidare ha effektiva korrigerande befogenheter t.ex. att kunna varna den per- sonuppgiftsansvarige eller personuppgiftsbiträdet om att planerade behandlingar kan stå i strid med de bestämmelser som genomför direktivet och kunna beordra rättelse, radering eller begränsning av behandlingen eller förbjuda den. ska också ha rätt att anmäla överträdelser till rättsliga myndigheter. De behöriga myndigheterna ska enligt artikel 48 ha effektiva mekanismer för att rapportera överträdelser av direktivet. ska enligt artikel 49 upprätta en årlig rap- port om sin verksamhet. Rapporten ska överlämnas till parlamen- tet, regeringen och andra myndigheter som anges i nationell rätt. Den ska också göras tillgänglig för bl.a. allmänheten och kommis- sionen. Tillsynsmyndigheterna ska enligt artikel 50 utbyta information med och ge varandra ömsesidigt bistånd. Varje tillsynsmyndighet ska kunna besvara en begäran från en annan tillsynsmyndighet utan onödigt dröjsmål och senast inom en månad och får bara vägra att tillmötesgå en begäran om myndigheten inte är behörig eller det skulle stå i strid med direktivet, unionsrätt eller nationell rätt. Kommissionen får genom genomförandeakter ange formerna för ömsesidigt bistånd. I artikel 51 anges vilka uppgifter den styrelse som inrättats genom dataskyddsförordningen ska ha när det gäller behandling av personuppgifter enligt direktivet. Rättsmedel, ansvar och sanktioner – artiklarna 52–57 Artikel 52 reglerar rätten för registrerade att lämna in klagomål över personuppgiftsbehandling till en tillsynsmyndighet. Har klagomå- let lämnats till fel myndighet ska den utan dröjsmål överlämna kla- gomålet till rätt myndighet. Den registrerade ska underrättas om handläggningen av klagomålet och vad det resulterar i. I artikel 53 föreskrivs att en fysisk eller juridisk person har rätt till effektivt rättsmedel mot en tillsynsmyndighets beslut som är rättsligt bindande och avser dem. Detsamma gäller om tillsynsmyn- digheten inte behandlat ett klagomål eller inte informerat den registrerade enligt artikel 52. Rätten till ett effektivt rättsmedel mot en personuppgiftsansva- rig eller ett personuppgiftsbiträde regleras i artikel 54. Enligt artikel 55 ska den registrerade ha rätt att ge ett organ, en organisation eller en sammanslutning i uppdrag att ge in klagomål och att låta den utöva de rättigheter som anges i artiklarna 52–54 för hans eller hennes räkning. Den som lidit skada till följd av olaglig behandling av person- uppgifter eller någon annan åtgärd som står i strid med de bestäm- melser som genomför direktivet ska enligt artikel 56 ha rätt till ersättning från den personuppgiftsansvarige eller annan myndighet som är behörig enligt nationell rätt. Artikel 57 ställer krav på att det finns sanktioner för överträdel- ser av de bestämmelser som genomför direktivet. Sanktionerna ska vara effektiva, proportionella och avskräckande. Genomförandeakter – artikel 58 Artikel 58 reglerar kommissionens kommittéförfarande. Slutbestämmelser – artiklarna 59–65 Enligt artikel 59 upphävs dataskyddsrambeslutet. I artikel 60 slås fast att direktivet inte påverkar särskilda be- stämmelser om skydd av personuppgifter i gällande unionsrättsak- ter på området för straffrättsligt samarbete och polissamarbete och i artikel 61 regleras förhållandet till tidigare ingångna avtal på om- rådet för straffrättsligt samarbete och polissamarbete. Artikel 62 reglerar kommissionens skyldighet att senast efter ikraftträdandet och därefter utvärdera direktivet. I artikel 63 föreskrivs att medlemsstaterna ska ha införlivat direktivet . Medlemsstaterna får dock i undantagsfall föreskriva att datasystem som inrättats före ikraft- trädandet ska stå i överensstämmelse med bestämmelsen om logg- ning i direktivet . Under exceptionella om- ständigheter kan tiden förlängas ytterligare i högst . Av artikel 64 framgår att direktivet träder i kraft dagen efter att det har offentliggjorts i EU:s officiella tidning och enligt artikel 65 riktar sig direktivet till medlemsstaterna. 6 En ny ramlag 6.1En ramlag för brottsbekämpning, lagföring och straffverkställighet bör införas 6.1.1En ny reglering behövs Utredningens bedömning: Det behövs en ny reglering för att genomföra dataskyddsdirektivet i svensk rätt. Regleringen bör ha lagform. Skälen för utredningens bedömning Behovet av en ny reglering Det nu gällande dataskyddsdirektivet – som upphör att gälla när dataskyddsförordningen börjar tillämpas – har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Person- uppgiftslagen har gjorts generellt tillämplig, vilket innebär att den gäller även utanför tillämpningsområde och reglerar be- handling av personuppgifter oavsett ändamålet med behandlingen. Lagen gäller således även för verksamheter som omfattas av det nya dataskyddsdirektivet. Personuppgiftslagen är subsidiär i förhållande till andra lagar och förordningar. Inom flera områden finns det särregler i register- författningar som helt eller delvis ersätter personuppgiftslagen. Som framgår av avsnitt 3 2–3.4 utgår registerförfattningarna när det gäller brottsbekämpning, lagföring och straffverkställighet från be- stämmelserna i personuppgiftslagen. Antingen gäller registerför- fattningarna utöver personuppgiftslagen, och innehåller bara de be- stämmelser som avviker från bestämmelserna i den lagen, eller så gäller de i stället för personuppgiftslagen men hänvisar till de be- stämmelser i den lagen som ska tillämpas. Det nya dataskyddsdirektivet ska vara genomfört i svensk rätt . Personuppgiftslagen innehåller, tillsammans med myndigheternas registerförfattningar, bestämmelser som i stor utsträckning motsvarar de krav på reglering som direktivet ställer. När dataskyddsförordningen börjar tillämpas kommer personuppgiftslagen och föreskrifter som har meddelats med stöd av den lagen att behöva upphävas. Det regelverk som ersätter personuppgiftslagen – dataskyddsförordningen och kom- pletterande nationella bestämmelser – kommer inte att vara anpas- sat till de särskilda förutsättningar som gäller för personuppgifts- behandling inom brottsbekämpning, lagföring och straffverkställig- het, eftersom sådan verksamhet är undantagen från förordningens tillämpningsområde. Det krävs därför en ny reglering för att genomföra direktivet. Regleringen bör ha lagform Enligt 2 kap. 6 § andra stycket regeringsformen är enskilda gent- emot det allmänna skyddade mot betydande intrång i den person- liga integriteten, om det sker utan samtycke och innebär övervak- ning eller kartläggning av personliga förhållanden.