sou · H5B339 · 2017-05-12 00:00:00 — Vi föreslår inte någon straffbestämmelse motsvarande den som gäller enligt personuppgiftslagen. Genom dataskyddsförordningen införs en skyldighet för myndigheter och vissa företag att utse ett dataskyddsombud. Ombudet ska vara bundet av sekretess enligt unionsrätten eller den nationella rätten. För dataskyddsombud som deltar i det allmännas verksamhet gäller offentlighets- och sekretesslagens bestämmelser om sekretess. För den privata sektorn föreslår vi att tystnadsplikt ska gälla för data- skyddsombud i fråga om sådant som ombudet har fått veta om enskilds personliga eller ekonomiska förhållanden. Dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till konsekvenser, både för det allmänna och för enskilda. Vi har dock inte haft i uppgift att bedöma eller redovisa dessa konse- kvenser. I vårt uppdrag ingår däremot att bedöma konsekvenserna av våra förslag, i den mån dessa medför förändringar jämfört med vad som gäller . Våra förslag innebär att , Datainspektionen och de allmänna förvaltningsdomstolarna får något fler arbetsuppgifter. bedömer dock att kostnadsökningarna för berörda aktörer inte kom- mer att bli större än att de ryms inom de befintliga anslagen. Våra förslag medför inga nya kostnader eller ökad administrativ börda för enskilda. Vi anser att förslagen stärker skyddet för enskildas personliga integritet. The EU’s new Protection Regulation begins to apply on 25 2018. Protection Regulation will be directly applicable in , but it provides scope for supplemen- tary national provisions of various kinds. Our overarching remit was to propose a new national regulation that supplements the Protection Regulation at a general level. However, our remit did not include reviewing the ‘register statutes’ or other sector-specific regulations on the processing of personal data. did our remit include analysing or describing any changes that the Protection Regulation in itself entails. Therefore, only a few of all the issues regulated in the Protection Regulation are dealt with or even mentioned in this report. Within the framework of our remit, we have endeavoured to ensure that the personal data processing currently permitted is able to continue as far as possible. Our work was therefore not intended to broaden or restrict the possibilities of processing personal data, other than in cases where the Protection Regulation requires such a change. A new Swedish regulatory framework on data protection We propose that the Act (1998:204) and the Ordinance (1998:1191) should be repealed and that the supple- mentary provisions of a general nature should be collected in a new overall act and ordinance on data protection. To emphasise the fact that the statutes are not comprehensive and that they are simply a supplement to the Protection Regulation, they should be named the Act containing supplementary provisions to the Protection Regulation and the Ordinance containing supplementary provisions to the Protection Regu- lation. In this report, we have chosen to refer to the new act as the Data Protection Act. Protection Regulation also to apply to activities not covered by EU law The processing of personal data carried out as part of an activity not covered by EU law, e.g. activities concerning national security, is not covered by the Protection Regulation. The same applies to the processing of personal data in activities covered by the EU Common Foreign and Security Policy. However, to ensure that there is sufficient protection of personal data in each activity, we consider that the relevant parts of the Regulation’s provisions should apply in these cases as well. Yet our proposal on expanding the field of appli- cation would not preclude the introduction of a separate regulation for a certain activity of this kind, if deemed more appropriate. Sector-specific provisions to take precedence over the Data Protection Act The provisions we propose are of a general nature. In certain areas, there will be a need for provisions in acts or ordinances concerning processing of personal data that deviate from the regulations in the Data Protection Act. That may include provisions specifying the legal basis for a public authority’s processing of personal data, restrictions on the right to process sensitive personal data in a certain activity or special procedural rules. We propose that such deviating provisions should take precedence over the Data Protection Act. However, this does not mean that they would thus also take precedence over the Protection Regulation within the area in question. In order for a deviating provision in, for example, a register statute to be applied, it has to be compatible with the Protection Regulation and refer to an issue that is allowed to be subject to special rules in national law. The situation is different with regard to activities that are not covered by EU law, i.e. when the Protection Regulation is not directly applicable but it has been given a broader field of application through the Data Protection Act. In such cases, it may be prescribed through an exemption in an act or ordinance that the Protection Regulation does not apply to that specific activity. Such an exemption may also state that only certain parts of the Protection Regulation do not apply. No changes in relation to our constitution Our detailed Fundamental on Freedom of Expression and Free- dom of the Press Act are unique compared with corresponding regulations in the rest of Europe. Protection Act does not limit the possibilities of processing personal data in the area governed by the constitution. There must be no uncertainty about this, since such uncertainty could have an impact on vital and very sensitive parts of opinion-making activities, such as freedom of communication and protection of sources. We therefore propose an information provision to make clear that the provisions of the Protection Regulation and the Data Protection Act must not be applied to the extent that they contravene the consti- tutional provisions on freedom of the press and freedom of expres- sion. Beyond the area protected by the constitution, we propose that an exemption from the Protection Regulation be intro- duced for the processing of personal data that occurs for journalistic purposes or for academic, artistic or literary expression. However, some of the provisions in the Protection Regulation, including those concerning the security of personal data, should be applied in these cases as well. The scope for allowing the principle of public access to official documents to take priority over the personal data regulations is clear in the Protection Regulation. This means that the rules contained in the Freedom of the Press Act on public access to docu- ments can continue to be applied, also when it comes to official documents that contain personal data. Children who are 13 and above in certain cases to be able to consent to the processing of their personal data Under the Protection Regulation, a child must be 16 to be able to give their own consent to the processing of personal data in relation to offers of information society services, such as social media, search engines and apps for smart devices. We propose that this age limit be lowered to 13 in . For younger children, con- sent must be given by a custodial parent or the child’s consent must be approved by the custodial parent. Legal obligations, exercise of official authority and tasks carried out in the public interest to be subject to separate regulations to form a legal basis Under the Protection Regulation, a legal obligation, the exercise of official authority or tasks carried out in the public interest must be laid down by national law or EU law to be able to form a legal basis for the processing of personal data. We propose provisions in the Data Protection Act that clarify how these phenomena are established in line with Swedish law. Under Swedish law, a legal obligation is established if it applies under an act or other statute or follows from collective agreements or decisions issued pursuant to an act or other statute. Exercise of official authority is established under Swedish law through an act or other statute. Under Swedish law, a task carried out in the public interest is established if it follows from an act or other statute or from collective agreements or decisions issued pursuant to an act or other statute. Because our remit covered archive issues, we have drawn attention to the fact that private archive institutions might lack an established legal basis for processing personal data. Pending the broad review of the archive system that the Government has announced, we propose that it should be possible for the National Archives to establish a legal basis through regulations or decisions in individual cases. Sensitive personal data may be processed only if explicitly permitted Under the Protection Regulation, the general rule, as before, is that processing of sensitive personal data is prohibited. Processing of such personal data may only be carried out if there is support for this in one of the Regulation’s exemption . Certain exemptions from the general rule follow directly from the Regu- lation, whereas others require support in national law as well. We propose that this kind of support be introduced in the Data Pro- tection Act with regard to necessary processing of personal data in the area of employment law, health and care, social care, archive activities and statistics activities. Support for processing must be linked to certain restrictions. Authorities to be able to process sensitive personal data under a new authority exception Authorities often have legitimate reasons for processing sensitive personal data, and in many cases this is done in the data subject’s own interests. To ensure that the necessary processing can be carried out even after the Protection Regulation begins to apply, we consider that there is a need for a new exception regarding the processing of sensitive personal data held by authorities. We propose that such processing may be carried out: –in running text if the data was provided in a matter or is required to deal with a matter; –if the data was provided to the authority and processing is required by law; or –in individual cases, if it is absolutely necessary for the purpose of the processing and the processing does not entail an improper intrusion on the personal privacy of the data subject. We further propose that when carrying out processing under the new authority exception, using search terms that reveal sensitive personal data it is to be prohibited. Personal data that concerns criminal offences to be processed by authorities and otherwise only if explicitly permitted We propose that authorities should continue to be able to process personal data that concerns criminal convictions and offences or coercive measures under criminal law. For actors other than authorities to be able to process such data, we propose that there must be explicit support in an act or ordinance or in regulations or administrative orders issued by the Protection Authority. We propose that support of this kind be laid down in law with regard to data processed for archiving purposes in the public interest, provided that the processing is carried out as a result of the obligations to protect and preserve documents specified in archive legislation and other provisions. Under certain circumstances, personal identity numbers to continue to be processed We propose that data concerning personal identity numbers or coor- dination numbers may continue to be processed when clearly justi- fied with respect to the purpose of the processing, the importance of positive identification or some other significant reason. There are restrictions on when archived data and statistics may be used for measures against a data subject Under our proposal, personal data processed exclusively for archiv- ing purposes in the public interest or for statistical purposes may not be used to take action in matters concerning the data subject unless there are exceptional grounds for doing so with respect to the person’s vital interests. Regarding archived data, this restriction will not apply to authori- ties. However, the restriction regarding statistical data will apply to authorities. In some cases, the right to access to the personal data and information, etc. to be restricted The rights of data subjects are strengthened under the Protection Regulation. However, these rights are not unconditional. Certain important exceptions from the rights are regulated directly in the Regulation. In addition, we propose that the right to information and access to the personal data should not apply to data that is subject to secrecy regulations. As a general rule, the right to access to the personal data should not apply to personal data contained in running texts that constitute rough drafts or notes. Furthermore, the right to access to the personal data, rectification, etc. is to be rest- ricted as regards personal data contained in archive material received for storage by the National Archives and other archiving authorities. Certain decisions taken by an authority acting as controller of personal data may be appealed to a court of law As is the case with the provisions of the Act, it will be possible to appeal certain decisions taken by an authority in its capa- city as controller of personal data to an administrative court. This applies to decisions taken by the authority in response to data sub- jects exercising their rights under the Protection Regu- lation. For example, this may concern the rejection of a request by a data subject to obtain access to the personal data, that data be recti- fied or erased, or that the processing be restricted. The data subject may seek compensation Under the Protection Regulation, the data subject is entitled to compensation from the controller or processor for damage suffered as a result of an infringement of the Regulation. We propose that the Data Protection Act should clarify that this right to compensation also applies to infringements of the Data Protection Act and other legislation that supplements the Regulation. Protection Authority to exercise supervision Protection Authority will be the authority tasked with supervising and monitoring compliance with the provisions of the Protection Regulation and the Data Protection Act. The Authority’s supervisory powers are specified in the Protection Regulation. Under our proposal, these powers should also apply to supervising compliance with the Data Protection Act and other supplementary legislation. A decision taken by the Protection Authority under the Protection Regulation and the Data Protection Act may be appealed to an administrative court. Protection Authority to consider complaints within three months Should a data subject consider that personal data is processed in a that contravenes the Protection Regulation, they may lodge a complaint with the Protection Authority. Complaints are to be considered within three months. If this does not happen, under our proposal the data subject may request an indication as to whether or not the Protec- tion Authority intends to exercise supervision. If the Protection Authority needs more time to consider the complaint, the request may be rejected through a reasoned decision. The data sub- ject may appeal this decision to an administrative court by submitting a claim of delay. Administrative fines may also be imposed on authorities that make errors Protection Regulation provides the Protection Authority with the option of imposing administrative fines on an enterprise or other private party that violates data protec- tion regulations. Under our proposal, it will also be possible to impose administrative fines on an authority that violates the Protection Regulation. We do not propose a penalty provision similar to that under the Act. Protection Regulation introduces an obligation on authorities and certain other bodies to designate a data protection officer. This officer is to be bound by secrecy or confidentiality under EU law or national law. Data protection officers who participate in public authority activi- ties must abide by the confidentiality provisions of the Public Access to Information and Secrecy Act. Regarding the private sector, we propose that confidentiality should apply to data protection officers where the officer has gained knowledge of a private party’s personal or financial circumstances. The directly applicable provisions of the Protection Regulation will have consequences for both public institutions and private parties. However, it was not our task to assess or report on these consequences. Nonetheless, our remit does include assessing the consequences of our proposals insofar as they entail changes compared with what currently applies. Our proposals entail a few more duties being assigned to the National Archives, the Protection Authority and the administrative courts. Our assessment, however, is that the increased costs to relevant actors will not exceed the scope of their existing appropriations. Our proposals do not entail any new costs or increased adminis- trative burden to private parties. In our view, the proposals strengthen protection for the perso- nal privacy of individuals. lag med kompletterande bestämmelser till EU:s dataskyddsförordning Härigenom föreskrivs följande. 1 § Denna lag kompletterar och rådets för- ordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), nedan kallad data- skyddsförordningen. Termer och uttryck som används i denna lag har samma bety- delse som i dataskyddsförordningen. 2 § Bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och i denna lag ska i tillämpliga delar gälla även vid behand- ling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdel- ning V kapitel 2 i fördraget om Europeiska unionen. Avvikande bestämmelser i annan författning 3 § Om en annan lag eller en förordning innehåller någon bestäm- melse som rör behandling av personuppgifter och som avviker från denna lag tillämpas den bestämmelsen. Förhållandet till tryck- och yttrandefriheten 4 § Bestämmelserna i dataskyddsförordningen och i denna lag ska inte tillämpas i den utsträckning det skulle strida mot bestämmel- serna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelserna i kapitel II och III, artiklarna 24–30 och 35–43 och kapitel V i dataskyddsförordningen samt i 2–5 kap. denna lag ska inte tillämpas på behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litte- rärt skapande. Organ som ska jämställas med myndigheter 5 § Vid tillämpningen av 3 kap. 3 § 2 och 4 § samt 4 kap. 1 § andra stycket ska andra organ än myndigheter jämställas med myndighe- ter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekre- tesslagen (2009:400) gäller i organets verksamhet. 6 § Den som utsetts till dataskyddsombud enligt artikel 37 i data- skyddsförordningen får inte obehörigen röja det som han eller hon vid fullgörandet av sin uppgift har fått veta om enskilds personliga och ekonomiska förhållanden. I det allmännas verksamhet tillämpas offentlighets- och sekre- tesslagen (2009:400) i stället för första stycket. 1 § Av dataskyddsförordningen framgår att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. 2 § Vid erbjudande av informationssamhällets tjänster direkt till ett barn, ska vid tillämpningen av artikel 6.1 a i dataskyddsförordningen behandling av personuppgifter som rör ett barn vara tillåten om Om barnet är ska sådan behandling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet. 3 § Personuppgifter får behandlas med stöd av artikel 6.1 c i data- skyddsförordningen om behandlingen är nödvändig för att den per- sonuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som 1.gäller enligt lag eller annan författning, 2.följer av kollektivavtal, eller 3.följer av beslut som har meddelats med stöd av lag eller annan författning. Uppgift av allmänt intresse och myndighetsutövning 4 § Personuppgifter får behandlas med stöd av artikel 6.1 e i data- skyddsförordningen om behandlingen är nödvändig 1.för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller 2.som ett led i den personuppgiftsansvariges myndighetsutöv- ning enligt lag eller annan författning. 5 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om behandling av personuppgifter för arkivändamål av allmänt intresse, när det gäller andra enskilda organ än de som omfattas av bestämmelserna om allmänna hand- lingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400). Den myndighet som regeringen bestämmer får även i enskilda fall besluta att sådana enskilda organ som avses i första stycket får behandla personuppgifter för arkivändamål av allmänt intresse. 3 kap. Vissa kategorier av personuppgifter 1 § Utöver vad som framgår av artikel 9.2 a, c, d, e eller f i data- skyddsförordningen får sådana särskilda kategorier av personupp- gifter som anges i artikel 9.1 i dataskyddsförordningen (känsliga per- sonuppgifter) behandlas om förutsättningarna i någon av 2–8 §§ är uppfyllda. 2 § Känsliga personuppgifter får med stöd av artikel 9.2 b i data- skyddsförordningen behandlas om det är nödvändigt för att den per- sonuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten. Personuppgifter som behandlas med stöd av första stycket får lämnas ut till tredje part endast om det inom arbetsrätten finns en skyldighet att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. Myndigheters behandling i vissa fall 3 § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en myndighet 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, 2.om uppgifterna har lämnats till myndigheten och behand- lingen krävs enligt lag, eller 3.i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. 4 § Vid behandling som sker enbart med stöd av 3 § får en myn- dighet inte använda sökbegrepp som avslöjar känsliga personupp- gifter. Hälso- och sjukvård och social omsorg 5 § Känsliga personuppgifter får med stöd av artikel 9.2 h i data- skyddsförordningen behandlas om behandlingen är nödvändig av skäl som hör samman med 1.förebyggande hälso- och sjukvård och yrkesmedicin, 2.bedömningen av en arbetstagares arbetskapacitet, 4.tillhandahållande av hälso- och sjukvård eller behandling, 5.social omsorg, eller 6.förvaltning av social omsorg, hälso- och sjukvårdstjänster samt deras system. Behandling enligt första stycket får ske under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är upp- fyllt. 6 § Känsliga personuppgifter får med stöd av artikel 9.2 j i data- skyddsförordningen behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv.