sou · H5B339 · 2017-05-12 00:00:00 — 7 § Känsliga personuppgifter får med stöd av artikel 9.2 j i dataskydds- förordningen behandlas om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas person- liga integritet som behandlingen kan innebära. Paragrafen avser behandling av känsliga personuppgifter för statis- tiska ändamål och motsvarar 19 § andra stycket PUL. Övervägandena finns i avsnitt 14.5.3. Bestämmelsen, som har sin grund i artikel 9.2 j i dataskyddsför- ordningen, utgör ett undantag från förordningens förbud mot att behandla känsliga personuppgifter. För att bestämmelsen över huvud taget ska aktualiseras krävs att insamlingen av personuppgifter är tillåten med stöd av någon av de rättsliga grunderna i artikel 6.1 i dataskyddsförordningen eller att behandlingen utgör en tillåten vidarebehandling av för andra ändamål insamlade personuppgifter. 8 § Regeringen får meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter i artikel 9.1 i data- skyddsförordningen om det behövs med hänsyn till ett viktigt allmänt intresse. Paragrafen innehåller ett bemyndigande för regeringen att meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter. Paragrafen motsvarar delvis 20 § PUL Övervägandena finns i avsnitt 10.6.2. Undantag med stöd av bemyndigandet ska vara förenade med skyddsåtgärder i enlighet med dataskyddsförordningens krav. 9 § Personuppgifter som rör fällande domar i brottmål, lagöverträdel- ser som innefattar brott eller straffprocessuella tvångsmedel får enligt artikel 10 i dataskyddsförordningen behandlas av myndigheter. Paragrafen avser myndigheters behandling av personuppgifter som rör lagöverträdelser. Paragrafen motsvarar delvis 21 § första stycket PUL. Övervägandena finns i avsnitt 11.4. Bestämmelsen införlivar delvis första ledet i förordningens arti- kel 10 i svensk rätt genom att det tydliggörs att myndigheter får behandla sådana uppgifter om lagöverträdelser som avses i artikeln. Begreppet lagöverträdelser som innefattar brott är detsamma som i personuppgiftslagen. I avvaktan på klargörande EU-rättslig praxis omfattas därför även fortsättningsvis uppgifter om misstankar om brott i viss utsträckning. Faktiska iakttagelser om en persons hand- lande omfattas normalt sett inte. 10 § Den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter som avses i 9 §. Paragrafen avser enskilda organs behandling av personuppgifter som rör lagöverträdelser. Paragrafen motsvarar delvis 21 § fjärde stycket PUL. Övervägandena finns i avsnitt 11.4. Bestämmelsen har sin grund i artikel 10 i dataskyddsförordningen, som anger att behandling av uppgifter som rör lagöverträdelser m.m. får utföras under kontroll av en myndighet. Bestämmelsen innebär att den myndighet som regeringen bestämmer kan meddela särskilda beslut om att tillåta sådan behandling i enskilda fall. Sådana beslut bör förenas med villkor såsom återkallelseförbehåll, tidsbegränsningar eller krav på återrapportering, för att på så sätt uppfylla förordningens krav på att behandlingen ska ske under kontroll av en myndighet. Beslut som tillåter behandling av uppgifter om lagöverträdelser i enskilda fall bör dock meddelas endast om intresset av sådan behand- ling väger tyngre än de registrerades intresse av att behandling inte sker. 11 § Behandling av sådana personuppgifter som avses i 9 § får ske om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv. Paragrafen avser behandling av personuppgifter som rör lagöverträ- delser när behandlingen sker för arkivändamål av allmänt intresse. Paragrafen saknar direkt motsvarighet i personuppgiftslagen. Över- vägandena finns i avsnitt 14.4.3. Bestämmelsen har sin grund i artikel 10 i dataskyddsförordningen och kompletterar 9 § i fråga om sådan behandling av personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse som utförs av andra än myndigheter. För att andra än myndigheter ska få behandla personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse med stöd av denna bestämmelse krävs att behandlingen sker som en följd av de skyldigheter att bevara och vårda handlingar som anges i föreskrifter. Detta krav gäller oavsett om personuppgifterna samlas in för arkiv- ändamål av allmänt intresse eller om uppgifter som samlats in för andra ändamål vidarebehandlas för arkivändamål av allmänt intresse. På generell nivå anges sådana skyldigheter i arkivlagen, arkivförord- ningen samt i och andra arkivmyndigheters föreskrifter. Det utrymme för behandling av personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse som bestämmelsen ger är därmed i första hand tillgängligt för de organ som omfattas av arkiv- lagstiftningen. Bestämmelsen medför, tillsammans med 6 § första stycket, att dataskyddsförordningen och lagen inte hindrar att ett enskilt organ som omfattas av offentlighetsprincipen arkiverar och bevarar allmänna handlingar. 12 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om i vilka fall andra än myndigheter får behand- la sådana personuppgifter som avses i 9 §. Paragrafen innehåller ett bemyndigande som motsvarar 21 § tredje stycket PUL. Övervägandena finns i avsnitt 11.4. Bestämmelsen har stöd i förordningens artikel 10, och innebär att regeringen eller den myndighet som regeringen bestämmer kan tillåta behandling av sådana uppgifter om lagöverträdelser och liknande uppgifter som avses i 9 § i föreskriftsform. Sådana generella före- skrifter kan exempelvis reglera behandling på vissa områden eller för vissa ändamål. Ett krav enligt dataskyddsförordningen är dock att föreskrifter bara får meddelas om lämpliga skyddsåtgärder för de registrerades grundläggande rättigheter och friheter iakttas. 13 § Uppgifter om personnummer eller samordningsnummer får be- handlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Paragrafen reglerar när personnummer och samordningsnummer får behandlas utan samtycke och motsvarar 22 § PUL. Övervägan- dena finns i avsnitt 12.4. Bestämmelsen, som har sin grund i artikel 87 i dataskyddsförord- ningen, innebär att en intresseavvägning mellan behovet av behand- lingen och de integritetsrisker som den innebär ska göras. Om- ständigheter som bör tillmätas betydelse vid intresseavvägningen är exempelvis om det eftersträvade syftet med behandlingen hade kunnat uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register. 14 § Regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten. Paragrafen innehåller ett bemyndigande för regeringen att meddela föreskrifter som tillåter behandling av personnummer och samord- ningsnummer i andra fall än enligt 13 §. Sådana föreskrifter får dock bara meddelas om dataskyddsförordningens krav på lämpliga skydds- åtgärder för de registrerades grundläggande rättigheter och friheter iakttas. Bestämmelsen motsvarar delvis 50 § c PUL. Övervägandena finns i avsnitt 12.4. Bestämmelsen har sin grund i artikel 87 i data- skyddsförordningen. 1 § Personuppgifter som behandlas enbart för arkivändamål av all- mänt intresse får inte användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen i första stycket hindrar dock inte myndigheter från att använda personuppgifter som finns i allmänna handlingar. Paragrafen avser användning av arkiverade personuppgifter och motsvarar delvis 9 § fjärde stycket PUL och delvis 8 § andra stycket andra meningen PUL. Övervägandena finns i avsnitt 14.4.4. Första stycket, som har sin grund i artikel 9.2 j i dataskyddsför- ordningen, utgör en sådan lämplig och särskild åtgärd som krävs enligt förordningen för att säkerställa den registrerades grundläg- gande rättigheter och intressen. Bestämmelsen förhindrar att person- uppgifter som finns hos den personuppgiftsansvarige enbart för arkivändamål av allmänt intresse används för att vidta åtgärder rörande den registrerade, om det inte finns synnerliga skäl med hän- syn till den registrerades vitala intressen. Begränsningen gäller alla typer av personuppgifter och inte bara känsliga sådana. För att bestämmelsen överhuvudtaget ska aktualiseras krävs att den aktuella användningen är förenlig med det ändamål för vilket uppgifterna ursprungligen samlades in. Bestämmelsen kan alltså inte tillämpas till stöd för en vidarebehandling som i sig är otillåten. Andra stycket innebär att användningsbegränsningen i första stycket inte gäller för myndigheters användning av personuppgifter i allmänna handlingar. I 1 kap. 5 § anges att vissa andra organ ska jämställas med myndigheter vid tillämpningen av denna bestäm- melse. 2 § Personuppgifter som behandlas enbart för statistiska ändamål får inte användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Paragrafen avser användning av statistikuppgifter och motsvarar delvis 9 § fjärde stycket PUL. Övervägandena finns i avsnitt 14.5.4. Bestämmelsen, som har sin grund i artikel 9.2 j i dataskydds- förordningen, utgör en sådan lämplig och särskild åtgärd som krävs enligt förordningen för att säkerställa den registrerades grund- läggande rättigheter och intressen. Bestämmelsen förhindrar att per- sonuppgifter som finns hos den personuppgiftsansvarige enbart för statistiska ändamål används för att vidta åtgärder rörande den registrerade, om det inte finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av personuppgifter och inte bara känsliga sådana. För att bestämmelsen överhuvudtaget ska aktualiseras krävs att den aktuella användningen är förenlig med det ändamål för vilket uppgifterna ursprungligen samlades in. Bestämmelsen kan alltså inte tillämpas till stöd för en vidarebehandling som i sig är otillåten. Det bör vidare noteras att bestämmelsen utgör en begränsning även av myndigheters möjlig- heter att använda statistikuppgifter för att vidta åtgärder i fråga om den registrerade. Begränsningar av vissa rättigheter och skyldigheter 1 § Den registrerades rätt till information och tillgång till person- uppgifter enligt artiklarna 13–15 i dataskyddsförordningen gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undan- taget i första stycket även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400). Paragrafen föreskriver undantag från den personuppgiftsansvariges informationsskyldighet och motsvarar i sak 27 § PUL. Övervägan- dena finns i avsnitt 13.4.1. Bestämmelsen har stöd i artikel 23 i dataskyddsförordningen. Första stycket innebär att sådan sekretess eller tystnadsplikt gentemot den registrerade som har stöd i författning har företräde framför rätten att få information och tillgång till de personuppgifter som behandlas. Andra stycket innebär att en personuppgiftsansvarig som inte omfattas av offentlighets- och sekretesslagens tillämpningsområde får vägra att lämna ut information till den registrerade, om en bestäm- melse i den lagen hade hindrat utlämnande till den registrerade om den personuppgiftsansvarige hade varit en myndighet. 2 § Bestämmelsen om den registrerades rätt till tillgång till person- uppgifter i artikel 15 i dataskyddsförordningen gäller inte personupp- gifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Undantaget i första stycket gäller inte om personuppgifterna 1.har lämnats ut till tredje part, 2.behandlas enbart för arkivändamål av allmänt intresse eller statis- tiska ändamål, eller 3.har behandlats i löpande text som inte fått sin slutliga utformning. Paragrafen föreskriver undantag från den personuppgiftsansvariges skyldighet att på den registrerades begäran lämna s.k. registerutdrag. Bestämmelsen motsvarar i sak 26 § tredje stycket PUL. Över- vägandena finns i avsnitt 13.4.2. Bestämmelsen i första stycket, som har stöd i artikel 23 i data- skyddsförordningen, innebär att den personuppgiftsansvarige inte behöver söka fram och lämna ut personuppgifter som finns i arbets- material i form av löpande text. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas. Med text som inte har fått sin slutliga utformning avses koncept och utkast och liknande. Text som är avsedd att tid efter annan ändras eller kompletteras och således aldrig kommer att få någon slutlig utformning omfattas inte av undantaget. Med text som utgör minnesanteckning avses promemorior och liknande som har kommit till bara för att bereda något slags ärende. Undantaget begränsas genom andra stycket. Begränsningen i punkt 1 innebär att rätten till registerutdrag ändå gäller, om den hand- ling där personuppgifterna förekommer har lämnats ut till någon tredje part. Punkt 2 innebär bland annat att rätten till registerutdrag omfattar personuppgifter i sådana utkast eller minnesanteckningar som har tagits om hand för arkivering. Med behandling för arkiv- ändamål av allmänt intresse eller statistiska ändamål avses detsamma som i dataskyddsförordningen. Slutligen innebär punkt 3 att person- uppgifter som förekommer i löpande text som inte har fått sin slut- liga utformning ska lämnas ut, om behandlingen har pågått . Minnesanteckningar, som normalt får sin slutliga utformning i samband med att de förs, omfattas däremot inte av punkt 3. Personuppgifter som förekommer i sådana handlingar behö- ver således inte lämnas ut, även om behandlingen pågått , om inte någon av punkterna 1 eller 2 är tillämpliga. 3 § Regeringen får meddela föreskrifter om ytterligare begränsningar av vissa rättigheter och skyldigheter enligt artikel 23 i dataskyddsför- ordningen. Paragrafen föreskriver ett bemyndigande för regeringen att meddela föreskrifter med stöd av artikel 23 i dataskyddsförordningen. Bestäm- melsen motsvarar i sak 8 a § PUL. Övervägandena finns i av- snitt 13.4.4. 6 kap. handläggning och beslut 1 § De befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2 och 58.3 i dataskyddsförordningen gäller även vid tillsyn över efterlevnaden av bestämmelserna i denna lag och andra författningar som kompletterar dataskyddsförordningen. Paragrafen avser tillsynsmyndighetens befogenheter och saknar direkt motsvarighet i personuppgiftslagen, men fyller i sak samma funktion som 2a § andra stycket förordningen (2007:975) med instruktion för Datainspektionen. Övervägandena finns i avsnitt 19.5.3. Bestämmelsen, som införs mot bakgrund av artiklarna 55–58 i dataskyddsförordningen, innebär att de tillsynsåtgärder som tillsyns- myndigheten kan vidta vid överträdelser av förordningen också kan vidtas vid överträdelser av bestämmelser i svensk rätt som komp- letterar förordningen. Detta gäller oavsett om dessa kompletterande bestämmelser om behandling av personuppgifter finns i denna lag eller i sektorsspecifika författningar. Det bör dock noteras att den befogenhet som tillsynsmyndigheten har enligt artikel 58.2 i, när det gäller att påföra administrativa sanktionsavgifter, hänvisar till artikel 83, som i sin tur innehåller en uttömmande uppräkning av vilka överträdelser som föranleder sanktionsavgifter. Av denna upp- räkning framgår motsatsvis att sanktionsavgifter kan påföras vid överträdelser av nationella bestämmelser endast om dessa bestäm- melser antagits på grundval av kapitel IX i dataskyddsförordningen. 2 § Om tillsynsmyndigheten vid handläggningen av ett ärende fin- ner att det finns skäl att ifrågasätta giltigheten av en unionsrättsakt som påverkar tillämpningen av dataskyddsförordningen i ärendet, får tillsynsmyndigheten hos allmän förvaltningsdomstol ansöka om att en åtgärd enligt artikel 58.2 i dataskyddsförordningen ska vidtas. Ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av tillsynsmyndighetens beslut. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen avser tillsynsmyndighetens möjlighet att anhängiggöra ett mål i domstol om behandling av personuppgifter. Paragrafen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 19.5.3. Bestämmelsen i första stycket, som har sin grund i artikel 58.5 i dataskyddsförordningen, innebär att tillsynsmyndigheten, om den anser att det finns skäl att ifrågasätta om en unionsrättsakt som påverkar tillämpningen av dataskyddsförordningen är giltig, kan avstå från att själv fatta beslut om korrigerande tillsynsåtgärder enligt artikel 58.2 och i stället ansöka hos förvaltningsrätten om att åtgärden ska beslutas. Bestämmelsen kan aktualiseras vid normkonflikt mellan dataskyddsförordningen och andra unionsrättsakter, t.ex. om ett kommissionsbeslut kräver eller förhindrar att en tillsynsåtgärd ska vidtas, men en sådan tillämpning skulle stå i strid med förordningen eller fördragen. kan i en sådan situation inte själv lösa normkonflikten genom att sätta någon av rättsakterna åt sidan. I stället får myndigheten ansöka hos förvaltningsrätten om att en tillsynsåtgärd ska vidtas. Om domstolen i ett sådant mål delar tillsynsmyndighetens tvivel angående giltigheten av den unionsrätts- akt som förhindrar eller kräver att åtgärden vidtas, kan domstolen begära ett förhandsavgörande från och därigenom få giltigheten prövad innan något beslut om åtgärden fattas. Enligt andra stycket ska ansökan göras hos den förvaltningsrätt som är behörig att pröva överklaganden av tillsynsmyndighetens beslut. Av tredje stycket framgår att prövningstillstånd krävs vid överklagande till kammarrätten. 3 § Innan tillsynsmyndigheten fattar ett beslut som avses i artikel 58.2 i dataskyddsförordningen, ska den som beslutet gäller ges tillfälle att inom en bestämd tid yttra sig över allt material av betydelse för beslutet, om det inte är uppenbart obehövligt. Om saken är brådskande får myndigheten, i avvaktan på yttrandet, besluta att behandlingen av personuppgifter tillfälligt ska begränsas eller förbjudas i enlighet med artikel 58.2 f i dataskyddsförordningen. Det tillfälliga beslutet ska omprövas, när tiden för yttrande har gått ut. Paragrafen reglerar tillsynsmyndighetens kommunikationsplikt. Para- grafen motsvarar delvis 46 § första stycket PUL. Övervägandena finns i avsnitt 19.5.3. Bestämmelsen införs mot bakgrund av artikel 58.4 i dataskydds- förordningen. Av första stycket i paragrafen följer att tillsynsmyn- digheten – innan den fattar vissa slags beslut – ska underrätta den som beslutet gäller om allt material av betydelse för beslutet och ge denne tillfälle att inom en bestämd tid yttra sig över materialet, om det inte är uppenbart obehövligt. Bestämmelsen gäller sådana beslut som tillsynsmyndigheten meddelar med stöd av de korrigerande befogenheter som föreskrivs i artikel 58.2 i förordningen, oavsett om mottagaren är en enskild eller en myndighet. Avseende andra slags beslut gäller förvaltningslagens allmänna bestämmelser om kommu- niceringsskyldighet. Kravet på kommunikation omfattar enbart sådant material som utgör underlag för beslutet, inte varje uppgift som har tillförts ären- det utifrån. Sådant material som helt saknar relevans för ett beslut i ett ärende omfattas alltså inte av kravet på kommunikation. Med material av betydelse avses sådana omständigheter eller uppgifter i materialet som påverkar tillsynsmyndighetens ställningstagande i den fråga som beslutet gäller. Det är alltså inte ett förslag till beslut som ska kommuniceras. Hur lång svarsfrist som kan anses rimlig och lämplig får avgöras utifrån bland annat materialets omfattning och komplexitet. Det sista ledet i första stycket innebär en begränsning av huvud- regeln för att undvika onödig kommunikation i de fall då detta är uppenbart obehövligt. Regeln ska tolkas snävt och är tillämplig enbart i sådana fall där behovet av kommunikation – sett ur motta- garens perspektiv – är mindre framträdande eller helt saknas. Det måste alltså stå klart för tillsynsmyndigheten att åtgärden inte kan tillföra något i det aktuella ärendet. Ett tänkbart exempel kan vara att det är mottagaren själv som har lämnat uppgifterna. Närmare praxis om när det är uppenbart obehövligt med kommunikation får utvecklas i rättstillämpningen. Enligt andra stycket får tillsynsmyndigheten i vissa fall besluta om begränsning av eller förbud mot behandling av personuppgifter redan innan tiden för yttrande har löpt ut. En förutsättning för detta är att saken är brådskande. Ett ingripande ska alltså vara motiverat av en överhängande risk för allvarlig kränkning av enskildas personliga integritet. Kommunikationsplikten gäller även i en sådan situation, men tillsynsmyndigheten behöver inte invänta att den som beslutet gäller kommer in med yttrandet eller avvakta till den tid- punkt då tiden för yttrande går ut innan beslut fattas. Tillsynsmyn- dighetens beslut ska dock vara tillfälligt och ska omprövas när tiden för yttrande har gått ut. 4 § Ett beslut som avses i 3 § första stycket ska delges, om det inte är uppenbart obehövligt. Delgivning enligt 34–37 §§ delgivnings- lagen (2010:1932) får användas endast om det finns särskild anled- ning att anta att mottagaren har avvikit eller på annat sätt håller sig undan. Paragrafen reglerar när en underrättelse om ett beslut enligt arti- kel 58.2 i dataskyddsförordningen ska ske genom delgivning. Bestäm- melsen motsvarar delvis 46 § andra stycket PUL. Övervägandena finns i avsnitt 19.5.3. Bestämmelsen införs mot bakgrund av artikel 58.4 i dataskydds- förordningen. Att beslut ska delges innebär att myndigheten ska använda sig av de metoder för delgivning som regleras i delgiv- ningslagen för att säkerställa att den som beslutet gäller får del av underrättelsen. Vissa delgivningsmetoder får dock bara användas under särskilda omständigheter. Om delgivning är uppenbart obehövligt, eller om beslutet inte grundar sig på befogenheterna i artikel 58.2 i förordningen, gäller förvaltningslagens generella bestäm- melser om att myndigheten själv bestämmer hur en underrättelse om ett beslut ska gå till. Som exempel på när det kan anses vara uppen- bart obehövligt att delge ett beslut kan nämnas att det som regel är uppenbart obehövligt att delge beslut enligt delgivningslagen när mottagaren är en myndighet. Däremot kan det aldrig anses uppenbart obehövligt att delge beslut om administrativa sanktionsavgifter. Närmare praxis om när det är uppenbart obehövligt med delgivning får utvecklas i rättstillämpningen. 5 § Om tillsynsmyndigheten inte från den dag då ett klagomål kom in till myndigheten har behandlat klagomålet, ska tillsynsmyndigheten på skriftlig begäran av den registrerade antingen lämna besked i frågan om myndigheten avser att utöva tillsyn med anledning av klagomålet, eller i ett särskilt beslut avslå begäran om besked. Besked eller beslut enligt första stycket ska meddelas från den dag då begäran om besked kom in till myndigheten. Om tillsynsmyndigheten har avslagit en begäran om besked enligt första stycket, har den registrerade inte rätt till ett nytt besked i ärendet förrän tidigast efter det att myndighetens beslut med- delades. I paragrafen finns bestämmelser om den registrerades rätt att på begäran få besked om tillsynsmyndighetens handläggning av ett klagomål. Paragrafen har inte någon motsvarighet i personuppgifts- lagen. Övervägandena finns i avsnitt 19.4.3.