sou · H5B397 · 2017-12-08 00:00:00 — En begäran om att få bli glömd innebär som huvudregel att uppgifterna ska raderas utan dröjsmål (artikel 17). Dataskyddsförordningen innebär även en förstärkning av rätten att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet (artikel 20). En vidareutveckling av regleringen om den enskildes rätt att invända mot uppgiftsbehandling och att i viss utsträckning inte bli utsatt för s.k. profilering har gjorts genom artiklarna 21 och 22. Profilering innebär automatisk behandling av uppgifter i syfte att bedöma personliga egenskaper hos den enskilde, exempelvis arbetsprestationer eller kreditvärdighet. Slutligen har medlemsstaterna getts befogenhet att för särskilt angivna ändamål inskränka vissa av rättigheterna och skyldigheterna i förordningen genom nationell Allmänna utgångspunkter för den nya regleringen lagstiftning under förutsättning att inskränkningarna är nödvändiga och proportionerliga i förhållande till ändamålet (artikel 23). Skyldigheter för den som behandlar personuppgifter De skyldigheter som åligger den som behandlar personuppgifter, dvs. den personuppgiftsansvarige och personuppgiftsbiträdet, fram- går av dataskyddsförordningens kapitel fyra. Många av skyldighet- erna har i förhållande till dataskyddsdirektivet utökats och vidare- utvecklats. Genom förordningen införs en skyldighet för den personupp- giftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en så kallad personuppgiftsincident, dvs. en säkerhetsincident som oavsiktligt påverkar behandlingen av personuppgifter (artikel 33). Även den registrerade ska informeras om incidenten om den sanno- likt leder till en hög risk för enskildas rättigheter och friheter (artikel 34). Det införs även krav på konsekvensanalyser om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller skyldigheter (artikel 35). Den allmänna anmälnings- skyldigheten till tillsynsmyndigheten tas däremot bort. Vidare blir det tydligare regler för kommunikation och ansvar hos de som be- handlar personuppgifter. Ett krav på inbyggt dataskydd och data- skydd som standard införs också (artikel 25). Även på andra sätt innebär förordningen ett ökat fokus på en enhetlig tillämpning av dataskyddsreglerna inom EU, t.ex. genom åtgärder som godkännande av uppförandekoder och certifiering och bestämmelser om dataskyddsombud (artiklarna 37–43). Det in- förs även en skyldighet för de nationella tillsynsmyndigheterna att samarbeta över nationsgränserna (kapitel sju). Rättsmedel, ansvar och sanktioner I det åttonde kapitlet slås bl.a. fast att enskilda ska ha rätt att klaga hos en nationell tillsynsmyndighet om de anser att behandlingen av deras personuppgifter inte följt regleringen i förordningen (arti- kel 77). Den enskilde ska dessutom ges rättsmedel för att kunna få tillsynsmyndigheten att agera utifrån ett klagomål som framförts till myndigheten (artikel 78). I likhet med vad som redan gäller ska Allmänna utgångspunkter för den nya regleringen den enskilde även ha rätt att väcka talan vid domstol mot en regis- teransvarig. En nyhet är att den rättigheten även gäller gentemot ett personuppgiftsbiträde (artikel 79). Genom artikel 80 ges den registrerade också rätt att ge mandat till vissa organ, organisationer och sammanslutningar utan vinstintresse att företräda honom eller henne och processa i domstol. Om en enskild har drabbats av en skada på grund av en otillåten behandling av personuppgifter ska denne ha rätt till skadestånd från den som är ansvarig för behand- lingen, den personuppgiftsansvarige eller personuppgiftsbiträdet (artikel 82). Genom förordningen införs också ett nytt gemensamt system med administrativa sanktionsavgifter som ska påföras vid vissa typer av överträdelser av förordningen (artikel 83). I övrigt är det medlemsstaterna som ska fastställa de sanktioner som ska komma i fråga vid överträdelser av förordningens bestämmelser. Sank- tionerna måste dock vara effektiva, proportionerliga och avskräckande (artikel 84). Behandling av personuppgifter i samband med utlämnanden enligt offentlighetsprincipen och för andra särskilda ändamål I kapitel nio i dataskyddsförordningen finns bestämmelser om be- handling av personuppgifter för vissa särskilda ändamål. Av arti- kel 86 framgår att personuppgifter i allmänna handlingar får lämnas ut i enlighet med nationell rätt för att jämka samman allmänhetens rätt att få tillgång till handlingar med rätten till skydd för person- uppgifter i enlighet med förordningen. Bestämmelsen möjliggör således en tillämpning av tryckfrihetsförordningens reglering om allmänhetens tillgång till handlingar och sekretessbestämmelserna i offentlighets- och sekretesslagen (2009:400), även när det gäller allmänna handlingar som innehåller personuppgifter. Utrymmet för att ge offentlighetsprincipen företräde framför personuppgiftsregler- ingen har blivit tydligare i dataskyddsförordningen jämfört med vad som har varit fallet med dataskyddsdirektivet. För att skapa en balans mellan skyddet för personuppgifter och yttrandefriheten anges exempelvis att medlemsstaterna ska lagstifta om undantag från vissa av förordningens bestämmelser för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande (artikel 85). Det finns även särskilda bestämmelser som närmare reglerar be- Allmänna utgångspunkter för den nya regleringen handling av nationella identifikationsnummer samt viss behandling för statistiska, historiska eller vetenskapliga forskningsändamål (artikel 87 respektive 89). Medlemsstaterna får även lagstifta om sådan behandling av enskildas personuppgifter som har samband med anställning (artikel 88). Bestämmelserna i tionde kapitlet handlar om kommissionens rätt att utfärda delegerade akter och genomförandeakter. Slutligen inne- håller kapitel elva förordningens slutbestämmelser. Som tidigare nämnts ersätter dataskyddsförordningen dataskydds- direktivet, som på generell nivå har genomförts i svensk rätt genom personuppgiftslagen, personuppgiftsförordningen och Datainspek- tionens föreskrifter. Dataskyddsförordningen ska tillämpas av en- skilda, myndigheter och domstolar precis som om dess bestämmelser hade funnits i en svensk författning. När dataskyddsförordningen börjar tillämpas kommer alltså den generella regleringen om be- handling av personuppgifter att finnas i dataskyddsförordningen. Det innebär att personuppgiftslagen, personuppgiftsförordningen och Datainspektionens föreskrifter kommer att upphävas. tillsatte regeringen en särskild utredare med uppdrag att föreslå de anpassningar och kompletterande för- fattningsbestämmelser på generell nivå som den nya dataskydds- förordningen ger anledning till ([Ju 2016:04], dir. 2016:15). har i betänkandet Ny data- skyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39), som överlämnades , lämnat förslag till en ny övergripande lag och förordning om dataskydd. För att betona att författningarna inte är heltäckande utan endast utgör komplement till dataskyddsförordningen har utredningen valt att benämna dem lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) respektive förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning. Den nya lagen och övriga författningsförslag föreslås träda i kraft . Personuppgiftslagen föreslås att upphöra att gälla . Enligt övergångsbestämmelserna ska den emellertid fortfarande gälla i den utsträckning som det i en annan lag eller Allmänna utgångspunkter för den nya regleringen förordning hänvisas till den lagen. Nedan följer en översiktlig be- skrivning av den föreslagna dataskyddslagen. Reglering av behandling av personuppgifter i har skett i form av en generell lag, personuppgiftslagen, kompletterad med särregler i s.k. registerförfattningar för viktigare och känsligare register. Personuppgiftslagen gjordes därför subsidiär på så sätt att om det i en annan lag eller i en förordning finns bestämmelser som avviker från lagen, ska de bestämmelserna gälla (2 § personuppgiftslagen). Av fram- går att regeringen har för avsikt att i vart fall tills vidare hålla fast vid det traditionella systemet för reglering av behandling av person- uppgifter i , dvs. i form av en generell reglering som kom- pletteras av sektorsspecifika författningar med bestämmelser om behandling av personuppgifter. I vissa fall kan lagform krävas enligt 2 kap. 6 § regeringsformen men kan sådana författ- ningar beslutas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen. Det kommer följaktligen även i fortsättningen sannolikt att finnas ett stort antal förordningar som innehåller särskilda bestämmelser om behandling av personuppgifter (SOU 2017:39, s. 83 f.). har mot bakgrund härav i sitt förslag till ny dataskyddslag med tillhörande förordning samlat generella bestämmelser tillämpliga för flertalet personuppgiftsansvariga, dvs. även myndigheter, och inte bara en viss sektor. har inom ramen för sitt uppdrag även analyserat om det finns behov av att reglera förhållandet mellan dataskyddslagen och sektorsspecifika föreskrifter. Enligt Dataskydds- utredningens förslag bör bestämmelser i såväl lagar som förord- ningar, på motsvarande sätt som gällt , ha företräde framför bestämmelserna i den föreslagna generella regleringen (a.a. s. 84). I enlighet härmed anges det i 1 kap. 3 § dataskyddslagen att om en annan lag eller en förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från denna lag tillämpas den bestämmelsen. Allmänna utgångspunkter för den nya regleringen Behandling av personuppgifter utanför dataskyddsförordningens tillämpningsområde Den EU-rättsliga regleringen är som tidigare påpekats inte heltäck- ande. Det innebär att det fortfarande kommer att finnas ett område som inte täcks av EU-regleringen. Inom det området kan det i sin tur finnas verksamhetsområden som inte omfattas av någon sektors- specifik reglering. har undersökt om det finns behov av en generell reglering för sådan personuppgifts- behandling. Enligt skulle en sådan reglering exempelvis kunna innebära att förordningen i relevanta delar görs tillämplig även utanför unionsrättens tillämpningsområde. Dataskyddsdirektivet gäller inte för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdel- ningarna V och VI i fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område (artikel 3.2). Personuppgiftslagen, genom vilken direktivet införlivats i svensk rätt, är däremot generellt tillämplig. Den gäller således även för sådan behandling som faller utanför det nuvarande dataskyddsdirektivets tillämpningsområde. Detta för att säkerställa ett starkt integritetsskydd för behandling av personuppgifter inom all offentlig verksamhet. En sådan ordning har även ansetts garan- tera att behovet av särregler i förhållande till personuppgiftslagen alltid övervägs noga i den ordning som krävs för författningsgiv- ning (prop. 1997/98:44, s. 40 f.). Enligt artikel 2.2 i dataskyddsförordningen ska förordningen inte tillämpas på behandling av personuppgifter som a)utgör ett led i en verksamhet som inte omfattas av unionsrätten, b)medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i , c)en fysisk person utför som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hushåll, eller d)behöriga myndigheter utför i syfte att förebygga, förhindra, ut- reda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebyggaoch förhindra hot mot den allmänna säkerheten. Allmänna utgångspunkter för den nya regleringen I skäl 16 till dataskyddsförordningen anges verksamhet som rör nationell säkerhet som ett exempel på en verksamhet som enligt led a inte omfattas av unionsrättens tillämpningsområde. Enligt Data- skyddsutredningen är det sannolikt bara i den offentliga sektorn som det skulle kunna förekomma verksamhet som faller utanför unionsrättens tillämpningsområde i den mening som avses i arti- kel 2.2 a och där behandling av personuppgifter därmed inte skulle omfattas av dataskyddsförordningens direkt tillämpliga bestämmel- ser (SOU 2017:39, s. 91). Någon unionsrättslig allmänt gällande prin- cip som innebär att en medlemsstat inte, med stöd av sin nationella kompetens, kan utvidga tillämpningsområdet för en EU-förord- ning finns inte. Dataskyddsförordningen innehåller inte heller några bestämmelser som förhindrar att bestämmelserna i förordningen tillämpas i verksamhet som är undantagen från dess tillämpnings- område. Det finns därmed inga formella hinder mot att utvidga tillämpningsområdet för dataskyddsförordningens bestämmelser till att omfatta även sådan personuppgiftsbehandling som faller utan- för unionsrättens tillämpningsområde (jfr prop. 2010/11:80, s. 59 f.). För att säkerställa att det inom varje verksamhet finns ett full- gott skydd bör enligt förslag förordning- ens bestämmelser om behandling av personuppgifter utsträckas till att gälla generellt. Detta anses vara ett bättre alternativ än att införa en komplett nationell dataskyddsreglering för verksamhet som inte omfattas av förordningens tillämpningsområde. Det skulle leda till att vissa myndigheter för sin personuppgiftsbehandling tvingas tillämpa två parallella regelverk, förutom eventuellt förekommande sektorsspecifika författningar. Enligt för- slag bör därför dataskyddsförordningen, i tillämpliga delar, genom dataskyddslagen utsträckas till att gälla även vid sådan behandling av personuppgifter som enligt artikel 2.2 a och b inte omfattas av dataskyddsförordningens tillämpningsområde. I 1 kap. 2 § dataskyddslagen föreslås följaktligen att bestämmel- serna i dataskyddsförordningen, i den ursprungliga lydelsen, och i lagen i tillämpliga delar ska gälla även vid behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapi- tel 2 i fördraget om Europeiska unionen. Bestämmelsen innebär att förordningens bestämmelser gäller som svensk rätt vid personupp- giftsbehandling som utförs i sådan verksamhet som enligt arti- Allmänna utgångspunkter för den nya regleringen kel 2.2 a och 2.2 b i dataskyddsförordningen är undantagen från förordningens tillämpningsområde. Förordningens bestämmelser gäller alltså, i tillämpliga delar, även vid personuppgiftsbehandling som utförs som ett led i en verksamhet som inte omfattas av unions- rätten och i verksamhet som utförs inom ramen för den gemen- samma utrikes- och säkerhetspolitiken (SOU 2017:39, s. 354). Verksamhet som inte omfattas av unionsrättens tillämpnings- område är bl.a. verksamhet som rör nationell säkerhet och verksam- het på försvarsområdet. Exakt vilka verksamheter som därutöver faller utanför unionsrättens tillämpningsområde och därmed inte omfattas av förordningens bestämmelser är emellertid oklart. Det kan dock konstateras att det inte är möjligt att genom nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten. De bestämmelser i förordningen som avser tillsynsmyndigheternas skyldighet att samarbeta med varandra är därför inte tillämpliga. Inte heller är det möjligt att genom natio- nell rätt ge den europeiska dataskyddsstyrelsen behörighet att t.ex. utfärda riktlinjer och rekommendationer eller att ge kommissionen rätt att anta delegerade akter inom detta område. Kapitel VII och kapitel X i dataskyddsförordningen utgör därför inte ”tillämpliga delar”. Det kan även i övrigt finnas bestämmelser i dataskyddsför- ordningen som inte kan tillämpas i rent nationell verksamhet. Det får därför i varje enskilt fall göras en bedömning av om en viss för- ordningsbestämmelse kan gälla. Det är också möjligt att i sektors- specifika författningar som avser verksamhet utanför dataskydds- förordningens egentliga tillämpningsområde föreskriva undantag från 1 kap. 2 § dataskyddslagen (jfr 1 kap. 3 § i den föreslagna lagen). Det kan i sådana författningar även anges att endast vissa av förordningens bestämmelser inte ska gälla inom just det området (a.a. s. 354 f.). 6.2.6Våra överväganden och förslag Utredningens bedömning och förslag: Regleringen av Rekry- teringsmyndighetens behandling av personuppgifter bör inte vara helt fristående utan anpassas till bestämmelserna i data- skyddsförordningen och den kompletterande dataskyddslagen. Allmänna utgångspunkter för den nya regleringen I lagen ska föreskrivas att dataskyddslagen gäller vid behand- ling av personuppgifter i verksam- het, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Lagen ska även innehålla en upplysning om att lagen, till följd av bestämmelserna i dataskyddslagen, kompletterar dataskydds- förordningen. behandling av personuppgifter syftar till att tillgodose det svenska totalförsvarets behov av totalförsvars- pliktiga samt att möjliggöra redovisning av dessa och övrig personal inom totalförsvaret. Som framgår av artikel 2.2 a i dataskyddsför- ordningen omfattar inte förordningen behandling av personupp- gifter som utgör ett led i en verksamhet som inte omfattas av unions- rätten. I föregående avsnitt har redovisats att dataskyddsförord- ningen dock inte innehåller några bestämmelser som förhindrar att bestämmelserna i förordningen tillämpas i verksamhet som är undan- tagen från dess tillämpningsområde. Det finns därmed inga formella hinder mot att utvidga tillämpningsområdet för dataskyddsförord- ningens bestämmelser till att omfatta även sådan personuppgifts- behandling som faller utanför unionsrättens tillämpningsområde. Förordningen möjliggör således en generell tillämpning av den- samma i medlemsstaterna. Enligt förslaget till dataskyddslag ska lagen vara generell i bety- delsen att den till sin ordalydelse även kommer att omfatta verk- samhet som faller utanför unionsrättens och följaktligen förord- ningens tillämpningsområde. Dataskyddslagen kommer således att även omfatta behandling av personuppgifter inom försvarsområdet. I dataskyddslagen ges emellertid en uttrycklig möjlighet att i annan författning eller förordning göra avvikelser från dataskyddslagen (1 kap. 3 §). När det gäller behandling av personuppgifter innebär således varken dataskyddsförordningen i sig eller utformningen av dataskyddslagen något rättsligt hinder mot att införa en helt fristående reglering. Enligt vår uppfattning finns det emellertid tungt vägande skäl för att en ny reglering av behandling av personuppgifter inom verksamhet – i den del som faller utan- för dataskyddsförordningens tillämpningsområde – bör anpassas till dataskyddsförordningen och den nya dataskyddslagens bestämmel- Allmänna utgångspunkter för den nya regleringen Dataskyddslagen kommer på samma sätt som personupp- giftslagen att vara subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter. Bestämmelser i en ny lag kommer därför som huvudregel att ha företräde framför dataskyddslagens bestämmelser. I annat fall ska dock dataskyddslagens bestämmelser gälla. En motsvarande ordning har sedan pliktregisterlagens ikraft- trädande tillämpats av vid myndighetens behandling av personuppgifter om totalförsvarspliktiga i förhåll- ande till personuppgiftslagens bestämmelser. Några skäl för att nu frångå en sådan ordning har inte kommit fram. I detta sammanhang ter det sig också naturligt och lämpligt att bestämmelserna i dataskyddsförordningen och dataskyddslagen får så långt det är möjligt tjäna som utgångspunkt när särskilda för- fattningar för behandling av personuppgifter utformas. Dataskydds- förordningen och den kompletterande dataskyddslagen har tillkom- mit för att ytterligare harmonisera och effektivisera skyddet av personuppgifter. Oavsett de förändringar och nyheter som följer av förordningen och som följaktligen kommer att införas generellt genom dataskyddslagen så är de till alla delar överensstämmande med grundläggande principer om integritetskydd i svensk rätt. För- delarna med att i en generell författning samla de grundläggande bestämmelserna för behandling av personuppgifter i myndigheters verksamhet gör sig alltjämt gällande, precis som vid personupp- giftslagens tillkomst. Fördelarna är enligt vår bedömning uppen- bara, inte minst från integritetsskyddssynpunkt. Det finns alltså starka skäl även från en materiellt rättslig synpunkt för att en för- fattning som reglerar behandling av personuppgifter i en verksam- het som inte omfattas av unionsrättens område också i fortsätt- ningen anpassas till de generella bestämmelserna på området, dvs. dataskyddsförordningen och den kommande dataskyddslagen. På de skäl som ovan anförts anser vi att regleringen av Rekry- teringsmyndighetens behandling av personuppgifter inte bör vara helt fristående utan bör följa den föreslagna dataskyddslagens – och därmed också dataskyddsförordningens – bestämmelser, med un- dantag för de fall då avvikelser är befogade på grund av verksam- hetens särskilda karaktär. Detta bör, liksom tidigare, komma till uttryck genom att det i den nya lagen anges att om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen, Allmänna utgångspunkter för den nya regleringen gäller dataskyddslagen vid behandling av personuppgifter i Rekryter- ingsmyndighetens verksamhet. I sammanhanget bör framhållas att dataskyddslagen för närvar- ande endast föreligger i form av ett förslag. Vi har emellertid under utredningen, så som angetts i våra direktiv, på nära håll följt Data- skyddsutredningens arbete. Utredningens sekretariat har fortlöpande deltagit i samordningsmöten med såväl som med flera andra utredningar som rört EU:s dataskyddsför- ordning, kompletterande sektorslagstiftning samt dataskyddslagen. Därigenom har vi kunnat anpassa våra förslag till den föreslagna nya regleringen. Vi är medvetna om att den slutliga utformningen av den nya lagen kan komma att skilja sig åt från dataskyddslagen i dess föreslagna form. Vi gör dock bedömningen att eventuella justeringar inte blir större än att vårt förslag kan anpassas till denna utan alltför omfattande arbetsinsatser. Enligt 1 kap. 2 § dataskyddslagen ska bestämmelserna i data- skyddsförordningen och i dataskyddslagen i tillämpliga delar gälla även vid behandling av personuppgifter som utgör ett led i en verk- samhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Som framgått ovan föreslår vi ingen annan ordning för den person- uppgiftsbehandling som utförs hos . Till följd av bestämmelsen blir således dataskyddsförordningen, i tillämpliga delar, direkt tillämplig vid behandling av personuppgif- ter i verksamhet. Detta förhållande bör komma till tydligt uttryck i den nya lagen. Lagen ska därför inne- hålla en upplysning om att denna lag, till följd av bestämmelserna i dataskyddslagen, kompletterar dataskyddsförordningen. I utredningens direktiv erinras om att det infördes en ny bestäm- melse i 2 kap. 6 § regeringsformen som innebär att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes per- sonliga förhållanden. Den lagstiftning som ska gälla för Rekry- Allmänna utgångspunkter för den nya regleringen teringsmyndigheten behöver därför granskas ur ett grundlags- perspektiv, bl.a. när det gäller bestämmelser om direktåtkomst för andra än . Av 8 kap. 1 § första stycket regeringsformen framgår att föreskrif- ter meddelas av genom lag och av regeringen genom förordning.