sou · H5B366 · 2017-08-31 00:00:00 — Det kan inte heller anses ingå i utredningens uppdrag att göra andra anpassningar av författningarna än sådana som föranleds av dataskyddsförordningen. gjorda avvägningar måste därför vara utgångspunkten för utredningens bedömningar. Dessa avvägningar har, när det gäller områden som täcks av registerförfattningar, gjorts efter ingående analyser av respektive område och med mindre tidspress än vad utredningen är utsatt för. Avvägningarna har också varit föremål för remiss- och riksdags- behandling och, oftast, granskning av Lagrådet. Även på de områden som inte täcks av en registerförfattning kan det sägas att det redan har gjorts en tyst avvägning som innebär att de möjligheter till behandling av personuppgifter som finns enligt personuppgiftslagen är både tillräckliga för verksamheten och inte för långtgående för integritetsskyddet. I vissa fall finns det också utredningsförslag som inte (ännu) har genomförts, t.ex. SOU 2014:67 om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen, som nämns i utred- ningsdirektiven, och SOU 2007:48 och SOU 2015:84, båda om för- fattningsreglering av donationsregistret. Det är inte några ofullkomligheter i lagstiftningen, eller ifråga- satta integritetskränkningar, som har föranlett utredningsuppdraget utan enbart den kommande nya EU-regleringen av behandling av personuppgifter. En utgångspunkt enligt utredningsdirektiven är också att de befintliga förutsättningarna för en ändamålsenlig be- handling inte ska försämras. Av dessa skäl anser utredningen att en utgångspunkt vid över- synen bör vara att behandling som, enligt utredningens bedömning, är laglig ska kunna fortsätta. Det innebär att översynen av respektive område i första hand inriktas på att undersöka om data- skyddsförordningen innebär att något som är lagligt inte kommer att kunna ske med befintlig författningsreglering. Om så är fallet, blir nästa steg att undersöka om dataskyddsförordningen medger att det finns ett nationellt författningsstöd för det som är lagligt och, om det är så, utforma förslag till ett sådant för- fattningsstöd som helst ska utformas enhetligt i förhållande till andra registerförfattningar. Redan av utredningsdirektiven framgår att den korta utred- ningstiden gör att möjligheterna att utreda och föreslå materiella ändringar är begränsade. Utredningen anser därför att en utgångs- punkt vid översynen bör vara att lämpligheten av att införa författ- ningsstöd för mera eller annat än det som enligt utredningens bedömning är lagligt inte ska utredas. Översynen ska alltså begränsas till att analysera vilket författningsstöd som kan behövas för att det som är lagligt ska kunna fortsätta. Frågan om det med hänsyn till artikel 6.3 i dataskyddsförord- ningen behövs ett generellt författningsstöd för myndigheters och andra organs behandling av personuppgifter och hur ett sådant generellt stöd ska utformas kan dock inte anses omfattad av utred- ningsdirektiven, eftersom frågan inte nämns där. Frågan har dess- utom ingått i uppdrag.1 Mot den bak- grunden är uppdraget enligt utredningsdirektiven att undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs kompletterande föreskrifter för vissa myndigheter och verksamheter som saknar särskilda register- författningar och lämna behövliga och lämpliga författningsförslag något svårförståeligt. Uppdraget innefattar i vart fall, enligt vad som uttryckligen anges i utredningsdirektiven, att lämna förslag till de anpassningar till följd av dataskyddsförordningen som behövs av de författningsförslag som lämnats i SOU 2014:67 om behand- lingen av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen, som inte har någon registerförfattning. Uppdraget får därutöver anses innebära att det ska undersökas om det inom området förekommer någon typ av behandling av personuppgifter med stöd av personuppgiftslagen, t.ex. missbruks- regeln i 5 a § eller en intresseavvägning enligt 10 § f, eller person- uppgiftsförordningen som, när personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas, behöver ett författnings- stöd för att kunna fortsätta och som är mer eller mindre unik och därför inte rimligen bör omfattas av en generell reglering. 1 Dir. 2016:15 och SOU 2017:39. som många personuppgiftsansvariga, inom flera departements- områden, behöver göra regleras nämligen bättre generellt, t.ex. i den reglering som har haft i uppdrag att utreda, än i en mängd registerförfattningar. Om det inom området förekommer att myndigheter utan registerförfattning behandlar känsliga personuppgifter i löpande text vid elektronisk korrespon- dens eller ärendehandläggning, är det t.ex. inte något som är så unikt för området att det motiverar en särskild reglering. Det kan inte anses ankomma på utredningen att bedöma vilka arbetsuppgif- ter i sak myndigheter får eller bör utföra eller att föreslå författ- ningsreglering av myndigheters arbetsuppgifter. 6.2Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen bör behållas om det blir tydligare Utredningens bedömning: Befintlig författningsreglering, som innebär begränsningar i förhållande till vad som vore tillåtet en- ligt dataskyddsförordningen, ska behållas i sak i så stor utsträck- ning som möjligt. Regleringen bör göras så enhetlig som möjligt. Författningsreglering som motsvarar bestämmelser i dataskydds- förordningen kan och bör, i den utsträckning det är möjligt enligt vad som anges i skäl 8 till dataskyddsförordningen, be- hållas eller införas när det skapar tydlighet. Det är enligt utredningsdirektiven viktigt att den nationella regler- ingen är så enhetlig som möjligt i sin utformning, vilket t.ex. inne- bär att termer, uttryck och struktur samt hänvisningar till data- skyddsförordningen är enhetliga. Detta ska utredningen beakta. Motsvarande formulering, och anvisningar om att arbetet i andra utredningar ska beaktas, finns i utredningsdirektiven för flera av de övriga utredningar som har sett över registerförfattningar inför att dataskyddsförordningen ska börja tillämpas. Ett enhetligt ramverk för myndigheters behandling av person- uppgifter har utretts och ett förslag till en generell myndig- hetsdatalag, som de befintliga registerförfattningarna skulle kunna anpassas till, ligger på regeringens bord.2 Det är emellertid osäkert vad som händer med det förslaget, som lämnades innan det stod klart att man inom EU skulle kunna enas om en dataskyddsförord- ning. Utredningsdirektiven innehåller inga anvisningar om att be- fintliga registerförfattningar ska anpassas till förslaget till myndig- hetsdatalag. Utredningsdirektiven får anses innebära att utredningen har att efter samråd med övriga utredningar försöka göra den författnings- reglering som behöver ändras eller införas så enhetlig som möjligt. Något försök till anpassning till den struktur som förslaget till myndighetsdatalag innebär bör dock inte göras. Utredningsdirekti- ven får anses ge möjlighet att utforma befintlig reglering, som kan och bör vara kvar i sak, så att den blir enhetlig mellan olika register- författningar, om utredningstiden medger det och nödvändigt sam- råd med övriga utredningar kan ske. Det har lagts ned stora lagstiftningsresurser på registerförfatt- ningarna. Det finns hos tillämparna erfarenhet av och kunskap om registerförfattningarna. Tillämparna har ibland också utformat in- struktioner till sin personal och informationsmaterial för registre- rade samt personuppgiftsbiträdesavtal utifrån den befintliga för- fattningsregleringen. Som sagts är möjligheterna att utreda materiella ändringar begränsade. Det – och hänsyn till det stora arbete som lagts ned på registerförfattningarna – gör att utredningen anser att utgångs- punkten bör vara att befintlig författningsreglering, som innebär begränsningar i förhållande till vad som vore tillåtet enligt data- skyddsförordningen, ska behållas i sak i så stor utsträckning som möjligt. Det innebär att översynen bör inriktas på att analysera om de befintliga bestämmelserna i sak kan behållas med hänsyn till dataskyddsförordningen. Är så fallet, bör de efter samråd med övriga utredningar om möjligt göras mera enhetliga. Önskemålet om enhetlighet bör dock inte få gå utöver det materiella innehållet. Innehåller en registerförfattning en unik begränsning, som kan be- hållas med hänsyn till dataskyddsförordningen, bör den begräns- ningen således finnas kvar i sak, trots att regleringen som helhet hade blivit mera enhetlig utan den. Går det inte säkert att fastslå att t.ex. en viss formulering är avsedd att innebära en begränsning i 2 SOU 2015:39. förhållande till vad som gäller enligt formuleringar i andra register- författningar, bör dock önskemålet om enhetlighet få ta överhanden, dvs. avvikande formuleringar som inte säkert har en viss innebörd justeras så att regleringen blir mera enhetlig. Även om utredningsdirektiven anvisar enhetlighet, kan de inte anses innebära ett uppdrag att rensa ut befintliga bestämmelser i registerförfattningarna som motsvarar bestämmelser i dataskydds- förordningen; något mera enhetligt än bestämmelser i en EU-för- ordning finns ju inte. Av skäl 8 till dataskyddsförordningen fram- går dessutom att om dataskyddsförordningen föreskriver förtydli- ganden eller begränsningar av bestämmelserna i dataskyddsförord- ningen genom den nationella rätten kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av dataskyddsförordningen i natio- nell rätt. Det kan däremot, som anges i avsnitt 4.2, i andra situa- tioner än den som berörs i skäl 8 anses strida mot att i nationell lagstiftning upprepa bara vissa bestämmelser i en EU- förordning eller låta bli att tala om att det är fråga om direkt tillämplig EU-rätt. Utredningen anser mot bakgrund av det ut- rymme som medlemsstaterna ges genom skäl 8 och det arbete som redan är nedlagt på registerförfattningarna, att utgångspunkten bör vara att befintlig författningsreglering som motsvarar bestämmelser i dataskyddsförordningen ska behållas i den utsträckning det be- hövs för att uppnå tydlighet och igenkänning hos tillämparna. En bedömning av om det är förenligt med att behålla en sådan bestämmelse måste dock göras i varje enskilt fall. Det är däremot utredningens bedömning att det inte bör införas fler bestämmelser som motsvarar bestämmelser i dataskydds- förordningen än de som redan finns i registerförfattningarna. Registerförfattningarna skulle då komma att bli alltför omfattande. Det kan dessutom bli missvisande för tillämparen att endast återge vissa bestämmelser i dataskyddsförordningen när även övriga be- stämmelser i dataskyddsförordningen gäller. I något enskilt fall kan det dock vara motiverat, för att förtydliga, att ta in en bestämmelse som upplyser om innehållet i en specifik bestämmelse i data- skyddsförordningen. Detta för att göra tillämparen uppmärksam på att regleringen i registerförfattningen inom ett visst område inte är uttömmande. av att dataskyddsförordningen börjar tillämpas Utredaren ska enligt utredningsdirektiven undersöka vilka konse- kvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom verksamhetsområde. Dataskyddsförordningen kommer att gälla direkt i . Personuppgiftslagen kommer att upphävas vid samma tillfälle. Dataskyddsförordningens bestämmelser är tvingande och nationell lagstiftning på området kommer därför bara att komplettera dataskyddsförordningen i den utsträckningen det är möjligt att göra undantag eller förtydliganden i förhållande till dataskyddsförordningen. Svenska bestämmelser som strider mot dataskyddsförordningen får inte längre tillämpas. Samtliga verksamheter, som omfattas av dataskyddsförordningen, kommer således att behöva tillämpa dataskyddsförordningen, oavsett om verk- samheten också omfattas av tillämpningsområdet för en register- författning. har föreslagit en lag med komplette- rande bestämmelser till EU:s dataskyddsförordning, dataskydds- lagen.1 Denna lag kommer, om förslaget leder till lagstiftning, att innehålla bestämmelser som kompletterar dataskyddsförordningen på en generell nivå. De verksamheter, vars behandling av person- uppgifter inte omfattas av någon särskild registerförfattning men av tillämpningsområdet för dataskyddsförordningen, kommer alltså att tillämpa dataskyddsförordningen och den föreslagna dataskydds- 1 SOU 2017:39. Konsekvenserna av att dataskyddsförordningen börjar tillämpas lagen i stället för personuppgiftslagen. Bestämmelserna i den före- slagna dataskyddslagen kommer i viss utsträckning även att tilläm- pas i verksamheter som omfattas av en särskild registerförfattning. Som framgår av avsnitt 4.3 innebär dataskyddsförordningen vissa nyheter i förhållande till nu gällande dataskyddsreglering. Att dataskyddsförordningen ska börja tillämpas får därmed konsekven- ser för all behandling av personuppgifter som omfattas av dess tillämpningsområde. Det är, med hänsyn till utredningens omfatt- ande uppdrag och korta utredningstid, inte möjligt att inom ramen för detta uppdrag göra någon djupgående analys av vilka konse- kvenser dataskyddsförordningen får för var och en av de många olika verksamheter som finns inom verksam- hetsområde. De huvudsakliga konsekvenserna av att dataskydds- förordningen ska börja tillämpas kommer dock att beröras i detta avsnitt. De konsekvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom verk- samhetsområde är desamma som för övriga departements verksam- hetsområden. 7.2Personuppgifter kommer inte att kunna behandlas med stöd av missbruksregeln Behandling av personuppgifter i ostrukturerat material, t.ex. löp- ande text i ordbehandlingsprogram, i e-post eller på internet är, som anges i avsnitt 3.3.3, tillåten enligt den s.k. missbruksregeln i 5 a § personuppgiftslagen så länge behandlingen inte innebär en kränkning av den registrerades personliga integritet. Missbruks- regeln kommer inte att finnas kvar när dataskyddsförordningen ska börja tillämpas.2 Bestämmelserna i dataskyddsförordningen ska i stället tillämpas i sin helhet på all automatiserad behandling av personuppgifter. Att missbruksregeln försvinner innebär att det beträffande så- dan behandling av personuppgifter som är tillåten enbart på grund av att den sker i ostrukturerat material, måste göras en ny bedömning i förhållande till dataskyddsförordningens bestämmel- ser. Det behöver till en början fastställas ändamål för behandlingen 2 SOU 2017:39. Konsekvenserna av att dataskyddsförordningen börjar tillämpas och bedömas om det finns stöd för behandlingen i någon av de rättsliga grunderna i artikel 6 i dataskyddsförordningen. Om någon av de rättsliga grunderna är tillämplig, ska övriga bestämmelser i dataskyddsförordningen iakttas vid den fortsatta behandlingen. 7.3Möjligheterna för myndigheter att behandla personuppgifter med stöd av en intresseavvägning minskar Som anges i avsnitt 4.3.4 innebär regleringen i artikel 6.1 andra stycket i dataskyddsförordningen att det inte längre kommer att vara tillåtet för offentliga myndigheter att behandla personuppgifter som ett led i fullgörandet av sina uppgifter med stöd av en intresse- avvägning. Detta betyder att om någon myndighet för sin myndig- hetsverksamhet behandlar personuppgifter med stöd av en intresse- avvägning enligt 10 § f personuppgiftslagen, behöver en bedömning göras av om behandlingen i stället kan ske med stöd av någon annan av grunderna i artikel 6.1 i dataskyddsförordningen. Om det inte finns någon annan tillämplig grund för behandlingen, är den alltså inte tillåten. En myndighets behandling av personuppgifter inom kärnverksamheten som bedömts tillåten efter en intresse- avvägning torde dock ofta även vara nödvändig för att utföra en arbetsuppgift av allmänt intresse och därmed tillåten med stöd av artikel 6.1 e i dataskyddsförordningen.3 Behandling av personuppgifter som en myndighet utför utanför den myndighetsspecifika verksamheten med stöd av en intresse- avvägning, t.ex. inom personal- eller ekonomiadministration, ver- kar inte omfattas av begränsningen i artikel 6.1 andra stycket i data- skyddsförordningen. 3 Se Informationshanteringens bedömning i SOU 2015:39 s. 256 där det också ges exempel på några situationer då myndigheters behandling av personuppgifter bedömts tillåten efter en intresseavvägning. Konsekvenserna av att dataskyddsförordningen börjar tillämpas 7.4Rättslig grund för behandling av personuppgifter Av avsnitt 4.3.4 framgår att det tillkommit nya krav för några av de rättsliga grunderna för behandling av personuppgifter. När det gäller behandling som är nödvändig för att den personuppgifts- ansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e i data- skyddsförordningen) måste grunden fastställas i nationell rätt eller EU-rätt. Vidare måste syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse fastställas i den rättsliga grunden. I fråga om behandling enligt arti- kel 6.1 e i dataskyddsförordningen gäller i stället att syftet med behandlingen ska vara nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Dessa nya villkor måste alltså vara uppfyllda för att de rättsliga grunder som anges artikel 6.1 c och e i dataskyddsförordningen ska vara tillämpliga. Förpliktelser och arbetsuppgifter av allmänt in- tresse eller som ett led i myndighetsutövning som inte är rättsligt förankrade kan därmed inte längre åberopas som rättsliga grunder för behandling av personuppgifter. har gjort en analys av vad dessa nytillkomna krav innebär.4 Som anges i avsnitt 4.3.3 krävs enligt skäl 50 till dataskydds- förordningen inte längre någon separat rättslig grund vid sådan vidarebehandling som inte hindras av finalitetsprincipen. I stället räcker det med den rättsliga grund med stöd av vilken personupp- gifter samlades in. Det kommer således att vara tillräckligt att be- döma om en vidarebehandling är oförenlig med de ändamål för vilka personuppgifterna ursprungligen samlades in. Någon bedömning av vilken rättslig grund vidarebehandlingen har behöver däremot inte göras. För en mer ingående analys av innebörden av finalitets- principen hänvisas till betänkande.5 4SOU 2017:39 s. 108–113. 5SOU 2017:39 s. 224–226. Konsekvenserna av att dataskyddsförordningen börjar tillämpas Som anges i avsnitt 4.3.5 har det i dataskyddsförordningen till- kommit några nya kategorier av känsliga personuppgifter, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person och uppgifter om sexuell läggning. Flera av de uppgifter som ryms inom de nya kategorierna är att betrakta som känsliga personuppgifter, eftersom de omfattas av de nuvarande kategorierna. Till exempel kan genetiska uppgifter av- slöja såväl hälsotillstånd som etnisk tillhörighet varför sådana upp- gifter anses vara känsliga personuppgifter.6 Även de andra nytillkomna kategorierna av känsliga personuppgifter kan i vissa fall också utgöra uppgifter om hälsa (se avsnitt 10.1.11 och 12.8.4). Uppgifter om sexuell läggning lär enligt utredningens be- dömning i de flesta fall också vara uppgifter som rör sexualliv. De olika kategorierna av känsliga personuppgifter överlappar alltså i viss mån varandra. Att nya kategorier lagts till innebär dock att det kommer att vara fler uppgifter som kategoriseras som känsliga och som därmed omfattas av dataskyddsförordningens reglering i arti- kel 9. Eftersom huvudregeln enligt artikel 9.1 är att det är förbjudet att behandla känsliga personuppgifter, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandling av sådana uppgifter ska vara tillåten. En verksamhet som har behov av att behandla känsliga person- uppgifter måste alltså ha stöd för sådan behandling i artikel 9.2 i dataskyddsförordningen. har också före- slagit vissa kompletterande bestämmelser. För en redogörelse av vilka konsekvenser dataskyddsförordningen medför för möjlighet- erna att behandla känsliga personuppgifter hänvisas därför till Data- skyddsutredningens betänkande.7 För verksamhet som omfattas av en särskild registerförfattning kommer precis som möjligheterna att behandla känsliga person- uppgifter att regleras i den författningen. 2005/06:64 s. 63. 7SOU 2017:39 s. 161–188. Konsekvenserna av att dataskyddsförordningen börjar tillämpas 7.6Färre uppgifter omfattas av de begränsningar som gäller för uppgifter om lagöverträdelser m.m. De särskilda regler i personuppgiftslagen som gäller uppgifter om lagöverträdelser omfattar även uppgifter om friande brottmåls- domar och administrativa frihetsberövanden. Att dessa uppgifter inte omfattas av dataskyddsförordningens reglering, vilket framgår av avsnitt 4.3.5, innebär en utökad möjlighet för andra än myndig- heter att behandla sådana uppgifter. Eftersom dataskyddsförordningen inte innehåller någon begräns- ning i fråga om myndigheters behandling av uppgifter om lag- överträdelser, kommer myndigheter att ha samma möjligheter som att behandla sådana uppgifter. För myndigheter som omfattas av särskilda registerförfattningar kan det dock i dessa författningar finnas bestämmelser som begränsar möjligheterna att behandla upp- gifter om lagöverträdelser. 7.7Utökade rättigheter för den registrerade Bestämmelserna i dataskyddsförordningen innebär att den registre- rades rättigheter utökas och att personuppgiftsansvarigas skyldig- heter utökas i motsvarande mån. Informationsskyldigheten i data- skyddsförordningen är t.ex., som framgår av avsnitt 4.3.6, betydligt mer omfattande än vad som gäller enligt dataskyddsdirektivet och personuppgiftslagen. Den registrerade har rätt att få mer infor- mation än vad som gäller och det har tillkommit nya situa- tioner när information måste lämnas. Information ska t.ex. lämnas vid vidarebehandling av personuppgifter för annat syfte än det för vilket uppgifterna samlades in och i vissa fall vid personuppgifts- incidenter. Ett krav på att informationen ska lämnas i klar och tydlig form har också tillkommit. Vidare har det skett en viss förskjut- ning av tidpunkten för när information ska lämnas i fråga om be- handling av uppgifter som har samlats in från någon annan än den registrerade. Som också anges i avsnitt 4.3.6 är rätten att bli bortglömd be- tydligt mer utförligt reglerad än rätten till utplåning enligt person- uppgiftslagen och dataskyddsdirektivet. Vissa undantag finns dock som gör att rätten att bli bortglömd inte gäller för behandling som Konsekvenserna av att dataskyddsförordningen börjar tillämpas sker med stöd av grunderna i artikel 6.1 c och e i dataskydds- förordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning) eller om behand- lingen är nödvändig för arkivändamål av allmänt intresse. Det har också tillkommit en rätt att få ofullständiga personuppgifter kompletterade och en skyldighet att i vissa situationer begränsa behandlingen. Rätten till dataportabilitet är en nyhet i dataskyddsförordningen. Rätten innebär att en verksamhet som omfattas av bestämmelsen är skyldig att tillhandahålla den registrerade uppgifterna i ett struktu- rerat, allmänt använt och maskinläsbart format. Eftersom rätten till dataportabilitet endast gäller om behandlingen grundar sig på sam- tycke eller avtal får den sannolikt inte någon större betydelse för verksamhet inom verksamhetsområde. Den registrerades rätt att göra invändningar mot behandling är, som anges i avsnitt 4.3.6, utökad i dataskyddsförordningen på det sättet att det är den registrerade som ska ha berättigade skäl för sin invändning, utan i stället den personuppgiftsansvarige som ska kunna redogöra för varför behandlingen ska få äga rum.