sou · H5B339 · 2017-05-12 00:00:00 — Konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser ankommer dock inte på oss att bedöma. Det bör noteras att dataskyddsförordningens konsekvenser för tillsynsmyndigheten har övervägts av Utredningen om till- synen över den personliga integriteten. Den utredningen konstate- rade i sitt betänkande (SOU 2016:65) att ytterligare resurser kommer att behöva tillföras, men att en slutgiltig uppskattning av resursbeho- vet kommer att behöva göras när de utredningar har slutförts som har i uppdrag att överväga dataskyddsförordningens och det nya data- skyddsdirektivets konsekvenser för hur tillsynen ska vara utformad. Det bör slutligen påpekas att flertalet nationella bestämmelser som kompletterar dataskyddsförordningen kommer att finnas i sådan sektorsspecifik reglering som ligger utanför vårt uppdrag. För när- varande arbetar ett stort antal utredningar med anpassningar av nationell rätt med anledning av dataskyddsförordningen och det nya dataskyddsdirektivet. Konsekvenserna av deras förslag analyseras inom ramen för respektive utredning. 21.2Förändringar som följer av våra förslag Under respektive avsnitt i betänkandet görs för varje del övervägan- den avseende dataskyddsförordningens krav, utrymmet för nationell reglering och skäl som talar för och emot olika författningstekniska lösningar. I de övervägandena har vi exempelvis beaktat hur olika lösningar skulle påverka den personliga integriteten och motstående intressen samt vilka effekter de skulle få för myndigheternas verk- samhet. För en analys av konsekvenserna av andra möjliga lösningar än de vi föreslår hänvisas därför till dessa avsnitt. En allmän utgångspunkt för vårt uppdrag har varit att sträva efter lösningar som ansluter till nuvarande systematik i personuppgifts- lagen och personuppgiftsförordningen. De flesta bestämmelserna i dataskyddslagen och den kompletterande förordning som vi föreslår motsvarar i linje med detta i stort sett de nuvarande reglerna i per- sonuppgiftslagen och personuppgiftsförordningen. Vissa förslag innebär dock förändringar jämfört med den ordning som gäller , och medför att en konsekvensanalys måste genom- föras. Det gäller främst förslagen i avsnitt 14 om arkiv och statistik, i avsnitt 18 om sanktioner och i avsnitt 19 om processuella frågor. föreslås i avsnitt 14 få nya uppgifter i form av före- skriftsrätt och befogenhet att fatta beslut i enskilda fall när det gäller enskilda organs behandling av personuppgifter för arkivändamål av allmänt intresse. I avsnitt 18 föreslås att sanktionsavgifter ska kunna beslutas även mot myndigheter. Denna arbetsuppgift för tillsynsmyndigheten är inte direkt föranledd av dataskyddsförordningens bestämmelser. I avsnittet bedöms vidare att någon straffbestämmelse motsvarande den som finns i personuppgiftslagen inte bör införas i dataskydds- lagen. Andra nyheter, som behandlas i avsnitt 19, är möjligheten för enskilda att i vissa fall begära besked från tillsynsmyndigheten om myndigheten avser att utöva tillsyn och att föra dröjsmålstalan mot ett sådant beslut. Det inrättas också en möjlighet för tillsynsmyn- digheten att under vissa speciella omständigheter väcka talan i dom- stol. Övriga förslag beträffande rättsmedel i kapitel 19 motsvarar emellertid i allt väsentligt det som gäller . 21.3.1Ekonomiska konsekvenser för det allmänna Utredningens bedömning: Förslagen kommer att innebära att , Datainspektionen och de allmänna förvaltningsdom- stolarna får något fler arbetsuppgifter, men kostnadsökningarna kommer inte att bli större än att de ryms inom de befintliga anslagen. De konsekvenser som beskrivs nedan avser som nämnts tidigare enbart våra förslag och inte dataskyddsförordningens bestämmelser i stort. Vår analys utgår här från de förändringar som våra förslag medför jämfört med vad som gäller enligt nuvarande generella regle- ring, dvs. framför allt enligt personuppgiftslagen och personuppgifts- förordningen. Förslagen medför att får föreskriftsrätt och en rätt att besluta i vissa enskilda fall som myndigheten inte haft tidigare. Initialt kan detta förväntas leda till en något ökad arbetsbörda, men torde därefter inte kräva några ökade resurser. Vi bedömer inte att våra förslag innebär att behöver tillskjutas medel utöver befintliga anslag. Förslagen medför även nya arbetsuppgifter för Datainspektionen och de allmänna förvaltningsdomstolarna. Möjligheten att begära besked från Datainspektionen om handläggningen av ett inkommet klagomål kommer initialt att kräva att resurser läggs på utarbetande av rutiner för hur information om handläggningen ska lämnas till den registrerade liksom för hur framställningar om besked från registre- rade ska hanteras. Eftersom det kan antas att Datainspektionen i de flesta fall kommer att ha behandlat ett klagomål på det sätt som förutsätts i dataskyddsförordningen, bedömer vi att de nya arbetsuppgifterna i förlängningen inte kräver några mer omfat- tande resurser. Vi bedömer att en dröjsmålstalan inte kommer väckas i domstol i mer än ett fåtal fall . Målen är dessutom av enkel beskaf- fenhet och torde därför kunna avgöras av en ensamdomare. Mot den bakgrunden bör inte heller domstolens resurser behöva tas i anspråk i någon större utsträckning för denna måltyp. Vad gäller beslut om sanktionsavgift mot myndigheter får antas att dessa blir sällsynta. Det beror dels på att myndigheter i regel kan förväntas anpassa verksamheten efter Datainspektionens synpunkter utan att det krävs repressiva åtgärder, dels på att sanktionsavgift är den åtgärd som tillsynsmyndigheten bör välja i sista hand. Det bör därför inte påverka Datainspektionens arbetsbörda i någon större ut- sträckning. Eftersom sanktionsavgifterna kan vara kännbara ekono- miskt är det rimligt att utgå från att inspektionens beslut kommer att överklagas till allmän förvaltningsdomstol i relativt stor utsträckning. Det faktum att sådana beslut förväntas bli ovanliga innebär dock att även överklagandena bör bli sällsynta. Kostnaderna för Datainspektionen och de allmänna förvaltnings- domstolarna bör därför rymmas inom befintliga anslagsramar såvitt avser förslagen i detta betänkande. De förändringar dataskyddsför- ordningen i övrigt medför kommer sannolikt att kräva budgetför- stärkningar, framför allt för Datainspektionen. Detta ligger emellertid utanför vårt uppdrag att bedöma. 21.3.2Ekonomiska konsekvenser för enskilda Utredningens bedömning: Förslagen medför inga nya kostna- der eller någon ökad administrativ börda för enskilda. De konsekvenser som beskrivs här avser som nämnts tidigare enbart våra förslag och inte dataskyddsförordningens bestämmelser i stort. Vår analys utgår vidare från de förändringar som våra förslag medför i relation till vad som gäller enligt nuvarande generella reglering, dvs. personuppgiftslagen och personuppgiftsförordningen. Med dessa utgångspunkter bedöms förslagen i detta betänkande inte leda till några kostnadsökningar eller någon ökad administrativ börda för enskilda. Utredningens bedömning: Förslagen förväntas förbättra skyddet för enskildas personliga integritet och minskar antalet krimina- liserade handlingar. De förväntas inte få några andra konsekvenser. Förslagen innebär bland annat att det införs särskilda undantag för myndigheternas behandling av känsliga personuppgifter. Avsikten med förslagen i denna del är inte att utvidga möjligheterna till be- handling i relation till vad som gäller , utan att i stort sett möjlig- göra behandling i motsvarande utsträckning som enligt personupp- giftslagen och personuppgiftsförordningen. Vi föreslår dock också ett förbud för myndigheter som behandlar uppgifter med stöd av nämnda undantag att använda sökbegrepp som avslöjar känsliga personuppgifter. Sökförbudet saknar motsvarighet . Vi bedömer att det förslaget gynnar enskildas personliga integritet. Dataskyddsförordningens bestämmelser innebär en förstärkning av enskildas rätt till information och tillgång till personuppgifter jäm- fört med motsvarande reglering i personuppgiftslagen. De undantag vi föreslår från förordningens bestämmelser i detta avseende mot- svarar de befintliga undantagen i personuppgiftslagen, trots att mer långtgående undantag i och för sig hade varit möjliga. Vi bedömer därför att regleringen sammantaget innebär en förstärkning av skyd- det för enskildas personliga integritet. Vidare ger förslagen enskilda ökade möjligheter att reagera om deras klagomål hos tillsynsmyndigheten inte behandlas , och att föra en dröjsmålstalan mot tillsynsmyndigheten i vissa fall. Detta bedöms också öka skyddet för enskildas personliga integritet, liksom den föreslagna möjligheten att besluta om sanktionsavgifter mot myndigheter när det gäller felaktig behandling av enskildas person- uppgifter. Den föreslagna tystnadsplikten för dataskyddsombud inne- bär slutligen också ett stärkt skydd för den personliga integriteten. Förslagen kommer att gälla även för personuppgiftsbehandling som sker hos kommuner och landsting men får inte några särskilda kon- sekvenser för dessa organ eller för den kommunala självstyrelsen. Eftersom vi inte föreslår att någon straffbestämmelse motsvarande den som finns i personuppgiftslagen ska införas i dataskyddslagen minskar förslagen antalet kriminaliserade handlingar. I övrigt har för- slagen inte några konsekvenser för brottsligheten eller det brotts- förebyggande arbetet. Författningsförslagen är könsneutralt utformade och förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män. Förslagen får inte några andra sådana konsekvenser som avses i 14–15 a §§ kommittéförordningen. 22.1Förslaget till lag med kompletterande bestämmelser till EU:s dataskyddsförordning 1 § Denna lag kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Termer och uttryck som används i denna lag har samma betydelse som i dataskyddsförordningen. Paragrafen anger lagens innehåll. Hänvisningarna till dataskyddsför- ordningen i denna lag är med undantag för 2 § dynamiska, dvs. avser förordningen i dess gällande lydelse. Över- vägandena finns i avsnitt 5.2.2. I första stycket anges att lagen innehåller kompletterande bestäm- melser till EU:s dataskyddsförordning. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller de kom- pletterande bestämmelser som gäller på ett generellt plan. Vid sidan av denna lag finns det även sektorsspecifika författningar som inne- håller bestämmelser som kompletterar dataskyddsförordningen på avgränsade områden. Av andra stycket framgår att de termer och uttryck som används i lagen ska förstås på samma sätt som i dataskyddsförordningen. Det innebär bland annat att definitionerna i artikel 4 i dataskyddsförord- ningen även gäller vid tillämpningen av lagen. 2 § Bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och i denna lag ska i tillämpliga delar gälla även vid behand- ling av personuppgifter som utgör ett led i en verksamhet som inte om- fattas av unionsrätten och i verksamhet som omfattas av avdel- ning V kapitel 2 i fördraget om Europeiska unionen. Paragrafen avser det materiella tillämpningsområdet för dataskydds- förordningens bestämmelser och har ingen motsvarighet i person- uppgiftslagen. Övervägandena finns i avsnitt 6.4. Bestämmelsen innebär att förordningens bestämmelser gäller som svensk rätt vid personuppgiftsbehandling som utförs i sådan verk- samhet som enligt artikel 2.2 a och 2.2 b i dataskyddsförordningen är undantagen från förordningens tillämpningsområde. Förordningens bestämmelser gäller alltså, i tillämpliga delar, även vid personupp- giftsbehandling som utförs som ett led i en verksamhet som inte om- fattas av unionsrätten och i verksamhet som utförs inom ramen för den gemensamma utrikes- och säkerhetspolitiken. Verksamhet som inte omfattas av unionsrättens tillämpningsområde är bland annat verksamhet som rör nationell säkerhet och verksamhet på försvars- området. Det är inte möjligt att genom nationell rätt ålägga tillsynsmyn- digheter i andra länder att samarbeta med den svenska tillsynsmyn- digheten. De bestämmelser i förordningen som avser tillsynsmyndig- heternas skyldighet att samarbeta med varandra är därför inte tillämp- liga. Inte heller är det möjligt att genom nationell rätt ge den euro- peiska dataskyddsstyrelsen behörighet att t.ex. utfärda riktlinjer och rekommendationer eller att ge kommissionen rätt att anta delegerade akter inom detta område. Kapitel VII och kapitel X i dataskydds- förordningen utgör därför inte ”tillämpliga delar”. Det kan även i övrigt finnas bestämmelser i dataskyddsförordningen som inte kan tillämpas i rent nationell verksamhet. Det får därför i varje enskilt fall göras en bedömning av om en viss förordningsbestämmelse kan gälla. Det bör noteras att det i sektorsspecifika författningar som avser verksamhet utanför dataskyddsförordningens egentliga tillämpnings- område kan föreskrivas undantag från bestämmelsen, se 3 §. Det kan i sådana författningar även anges att endast vissa av förordningens bestämmelser inte ska gälla inom just det området. Hänvisningen till dataskyddsförordningen i denna paragraf är statisk, dvs. avser den ursprungliga lydelsen av förordningen. 3 § Om en annan lag eller en förordning innehåller någon bestämmel- se som rör behandling av personuppgifter och som avviker från denna lag tillämpas den bestämmelsen. Paragrafen avser lagens förhållande till avvikande bestämmelser i andra författningar. Bestämmelsen motsvarar i sak 2 § PUL. Över- vägandena finns i avsnitt 5.2.3. Bestämmelsen innebär att avvikande bestämmelser som rör be- handling av personuppgifter och som finns i en annan lag eller i en förordning ska ha företräde framför lagen. Det kan t.ex. vara bestäm- melser som specificerar den rättsliga grunden för en myndighets behandling av personuppgifter, begränsningar av rätten att behandla känsliga personuppgifter i en viss verksamhet eller särskilda förfa- randeregler. Sådana avvikande bestämmelser som avses i paragrafen finns ofta i författningar som helt eller delvis innehåller bestämmelser om behandling av personuppgifter hos en viss myndighet, inom en viss sektor eller i ett visst sammanhang. Sådana författningar före- kommer främst inom den offentliga sektorn. Beslut som eller regeringen har fattat i annan form än lag eller förordning och föreskrifter som myndigheter har utfärdat tar däremot inte över bestämmelserna i denna lag. Bestämmelsen innebär inte heller att avvikande bestämmelser per automatik har företräde framför dataskyddsförordningen. Sådant företräde gäller endast i den mån förordningen tillåter nationell särreglering. Formuleringen ”i en annan lag” omfattar inte bara avvikande bestämmelser i lagar antagna av den svenska , utan även bestämmelser i direkt tillämpliga EU-förordningar. Frågan om en viss bestämmelse innefattar en avvikelse från vad som ska gälla enligt denna lag får avgöras med tillämpning av sed- vanliga metoder för tolkning av författningar. Eventuella normkon- flikter mellan bestämmelserna i denna lag och bestämmelser i annan författning om annat än dataskydd får på motsvarande sätt lösas med hjälp av allmänna principer, som till exempel att grundlag har före- träde framför vanlig lag, att har företräde framför svensk lag och att speciallag har företräde framför generell lag. 4 § Bestämmelserna i dataskyddsförordningen och i denna lag ska inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihets- grundlagen. Bestämmelserna i kapitel II och III, artiklarna 24–30 och 35–43 och kapitel V i dataskyddsförordningen samt i 2–5 kap. denna lag ska inte tillämpas på behandling av personuppgifter som sker för journa- listiska ändamål eller för akademiskt, konstnärligt eller litterärt ska- pande. Paragrafen avser dataskyddsförordningens och lagens förhållande till tryck- och yttrandefriheten och motsvarar 7 § PUL. Övervä- gandena finns i avsnitt 7.4. Bestämmelsen i första stycket erinrar om att tryckfrihetsför- ordningen och yttrandefrihetsgrundlagens bestämmelser om tryck- och yttrandefrihet har företräde framför dataskyddsförordningens och lagens bestämmelser. Att bestämmelserna om allmänhetens tillgång till handlingar i tryckfrihetsförordningens 2 kap. har före- träde framför dataskyddsförordningens bestämmelser följer av artikel 86 i förordningen. I andra stycket undantas uppräknade kapitel och artiklar i data- skyddsförordningen och i lagen när det gäller behandling för jour- nalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande utanför det grundlagsreglerade området. Bestämmelsen har sin grund i artikel 85.2 i dataskyddsförordningen och innebär i sak att bestämmelserna om syfte, tillämpningsområde och definitioner (kapitel I), om samarbete med tillsynsmyndigheten och säkerhet för personuppgifter (artiklarna 31–34 i kapitel IV), om oberoende till- synsmyndigheter (kapitel VI), om samarbete och enhetlighet (kapi- tel VII) samt om rättsmedel, ansvar och sanktioner (kapitel VIII) är tillämpliga på behandling för de nämnda ändamålen. Det bör noteras att bestämmelserna om tillsyn, rättsmedel, ansvar och sanktioner alltså enbart blir tillämpliga såvitt avser tillsyn över eller överträdelser av bestämmelserna om säkerhet för personuppgifter. Kapitel IX, X och XI är i och för sig inte undantagna men bedöms i praktiken inte aktualiseras vid behandling för sådana ändamål som avses i para- grafen. 5 § Vid tillämpningen av 3 kap. 3 § 2 och 4 § samt 4 kap. 1 § andra stycket ska andra organ än myndigheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekre- tess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i organets verksamhet. Paragrafen avser organ som ska jämställas med myndigheter. Bestäm- melsen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 10.6.2 och 14.4.6. Bestämmelsen innebär att vissa bestämmelser i lagen ska gälla även för andra organ än myndigheter, i den mån offentlighetsprincipen och sekretesslagstiftningen enligt författning gäller i organets verk- samhet. Bestämmelsens hänvisning till 3 kap. 3 § 2 möjliggör sådan behandling av känsliga personuppgifter som är oundviklig i organets verksamhet som en direkt följd av bland annat tryckfrihetsförord- ningens och offentlighets- och sekretesslagens bestämmelser om all- männa handlingar och diarieföring. Sökförbudet i 3 kap. 4 § avseende känsliga personuppgifter ska gälla vid sådan tillämpning. Bestäm- melsens hänvisning till 4 kap. 1 § andra stycket innebär att använd- ningsbegränsningen i första stycket samma paragraf inte hindrar organ som omfattas av offentlighetsprincipen från att använda personupp- gifter som finns i allmänna handlingar. 6 § Den som utsetts till dataskyddsombud enligt artikel 37 i data- skyddsförordningen får inte obehörigen röja det som han eller hon vid fullgörandet av sin uppgift har fått veta om enskilds personliga och eko- nomiska förhållanden. I det allmännas verksamhet tillämpas offentlighets- och sekretess- lagen (2009:400) i stället för första stycket. Paragrafen innebär att tystnadsplikt gäller för dataskyddsombud, och saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 17.4.3. Bestämmelsen har stöd i dataskyddsförordningens artikel 38.5. Tystnadsplikten i första stycket är begränsad till obehörigt röjande av uppgifter. Begränsningen innebär att uppgifter exempelvis får lämnas ut med samtycke, till tillsynsmyndighet eller annars som en följd av en skyldighet i lag eller annan författning. Andra stycket innehåller en erinran om att offentlighets- och sekre- tesslagen tillämpas i det allmännas verksamhet. Så länge dataskydds- ombudet innehar en sådan anställning eller uppdrag som avses i 2 kap. 1 § andra stycket OSL omfattas han eller hon av sekretessen. Ett dataskyddsombud får i allmänhet anses delta i verksamheten på ett sådant sätt som förutsätts i nämnda paragraf. Om ett dataskydds- ombud inte omfattas av bestämmelserna i offentlighets- och sekre- tesslagen gäller tystnadspliktsbestämmelsen i första stycket för upp- gifter som han eller hon fått kännedom om inom ramen för sitt uppdrag. 1 § Av dataskyddsförordningen framgår att personuppgifter får be- handlas endast om minst ett av de villkor som anges i artikel 6.1 i för- ordningen är uppfyllt. Paragrafen upplyser om att motsvarigheten till 10 § PUL, som anger villkoren för laglig behandling, finns i artikel 6.1 i dataskyddsför- ordningen. Övervägandena finns i avsnitt 8.3.6. Uppräkningen i artikel 6.1 i dataskyddsförordningen är uttöm- mande. Om ingen av dessa punkter är tillämpliga är behandlingen inte laglig och får därmed inte utföras. De olika punkterna är i viss mån överlappande. Flera punkter kan därför vara tillämpliga avse- ende en och samma behandling. Den omständigheten att behandlingen är laglig enligt artikel 6.1 i dataskyddsförordningen, dvs. att det finns en tillämplig rättslig grund, innebär inte att behandling kan ske av vilka uppgifter som helst eller på valfritt sätt. Den personuppgiftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen och i bestäm- melser som kompletterar förordningen. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. Detta innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, att den inte kan under- låtas. Behandlingen kan under vissa omständigheter anses vara nöd- vändig och därmed tillåten enligt artikel 6, om behandlingen leder till effektivitetsvinster. 2 § Vid erbjudande av informationssamhällets tjänster direkt till ett barn, ska vid tillämpningen av artikel 6.1 a i dataskyddsförordningen behandling av personuppgifter som rör ett barn vara tillåten om barnet är . Om barnet är ska sådan behandling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet. Paragrafen anger vid vilken ålder barn som erbjuds informations- samhällets tjänster själva kan samtycka till behandling av personupp- gifter. Paragrafen har ingen motsvarighet i personuppgiftslagen. Över- vägandena finns i avsnitt 9.5. Bestämmelsen har sin grund i artikel 8.1 i dataskyddsförord- ningen, som anger att sådan behandling av personuppgifter som avses i paragrafen får ske med stöd av barnets eget samtycke om barnet har fyllt . Medlemsstaterna får föreskriva en lägre åldersgräns, dock lägst . Informationssamhällets tjänster är tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begä- ran av en tjänstemottagare. Det rör sig således om t.ex. sociala medier, söktjänster och s.k. appar på smarta enheter. Bestämmelsen är tillämplig endast när den rättsliga grunden för personuppgifts- behandlingen är samtycke och inte när behandlingen utförs på annan rättslig grund. Om barnet är får behandling av person- uppgifter med stöd av samtycke ske endast om samtycket ges eller godkänns av den person som har föräldraansvar för barnet. Denna person är i allmänhet barnets vårdnadshavare. Om barnet inte har en vårdnadshavare eller vårdnadshavarna inte kan eller får utöva vård- naden, får det från fall till fall bedömas vem som kan samtycka till personuppgiftsbehandlingen rörande barnet eller godkänna barnets samtycke.