sou · H5B339 · 2017-05-12 00:00:00 — Enligt dataskyddsförordningen krävs att den personuppgiftsansva- rige gör en dataskyddskonsekvensanalys före vissa typer av högrisk- behandlingar av personuppgifter (artikel 33). Om en sådan kon- sekvensanalys indikerar att den tänkta behandlingen skulle innebära en hög risk, ska den personuppgiftsansvarige under vissa förutsätt- ningar och på ett visst sätt samråda med tillsynsmyndigheten (arti- kel 34.2–34.6). Enligt artikel 34.7a har medlemsstaterna dessutom möjlighet att införa krav på förhandstillstånd för sådana behand- lingar som utförs i det allmännas intresse, inklusive behandling av uppgifter som rör socialt skydd och folkhälsa. Enligt 41 § PUL har regeringen möjlighet att meddela föreskrifter om att behandlingar som innebär särskilda risker för otillbörligt intrång i den personliga integriteten ska anmälas för för- handskontroll till tillsynsmyndigheten. Det har tidigare funnits vissa sådana bestämmelser i personuppgiftsförordningen men dessa har upphävts. Viss behandling som regleras i särskild ordning, t.ex. behandling av personuppgifter i samband med brotts- utredningar, omfattas däremot av bestämmelser om förhandskon- troll. I sammanhanget kan också huvudregeln i kameraövervaknings- lagen (2013:460) nämnas som innebär att det krävs tillstånd från för att en övervakningskamera ska få vara uppsatt så att den kan riktas mot en plats dit allmänheten har tillträde. Det bör mot denna bakgrund övervägas om regeringen också fort- sättningsvis ska ha en generell möjlighet att meddela föreskrifter i frågan om krav på förhandstillstånd eller om sådana föreskrifter endast bör tas in i sådan sektorsspecifik lagstiftning som ligger utan- för utredningens uppdrag. •överväga om regeringen även fortsättningsvis ska ges en generell rätt att meddela föreskrifter om krav på förhandstillstånd i vissa fall, och •lämna lämpliga författningsförslag. Barns samtycke i vissa fall Enligt artikel 6.1 a i dataskyddsförordningen kan den registrerades samtycke utgöra en rättslig grund för behandling av personuppgifter. För att ett samtycke ska vara giltigt när informationssamhällets tjänster erbjuds direkt till ett barn krävs, enligt artikel 8.1 i förordningen, vårdnadshavarens samtycke eller dennes godkän- nande av barnets samtycke. Den personuppgiftsansvarige ska i dessa fall göra rimliga ansträngningar för att kontrollera att samtycke ges eller godkänns av vårdnadshavaren. Medlemsstaterna har möjlighet att sänka den aktuella åldersgränsen från till lägst , vilket motsvarar den åldersgräns som vissa tjänsteleverantörer använder sig av. De aktuella bestämmelserna i förordningen ska inte påverka den allmänna kontraktsrätten i medlemsstaterna, såsom regler om giltig- het, ingående eller verkan av ett avtal med ett barn (artikel 8.2). I personuppgiftslagen saknas motsvarande särbestämmelser för barns samtycke. En bedömning av om den underåriges samtycke ska anses giltigt får som huvudregel därmed göras från fall till fall. För ett giltigt samtycke krävs att den registrerade är kapabel att förstå inne- börden av samtycket. Enligt Datainspektionen kan en tumregel vara att den som är normalt anses kapabel att ta ställning i sam- tyckesfrågan. Det kan dock finnas andra rättsliga hinder mot vissa typer av personuppgiftsbehandlingar, exempelvis när det gäller att skicka direktreklam till barn. Utredaren ska mot denna bakgrund •analysera för- och nackdelar med att sätta en lägre åldersgräns än förordningens när det gäller krav på vårdnadshavares sam- tycke eller dennes godkännande av barnets samtycke, och •lämna lämpliga författningsförslag. Hur ska certifieringsorgan godkännas? Dataskyddsförordningen innehåller liksom nuvarande reglering bestämmelser om att bl.a. medlemsstaterna och tillsynsmyndighe- terna ska uppmuntra till att sammanslutningar av personuppgifts- ansvariga tar fram uppförandekoder för personuppgiftsbehandlingen i en viss bransch eller liknande (artikel 38). Syftet är att bidra till en korrekt tillämpning av förordningen. Utkast till uppförandekoder ska kunna ges in till tillsynsmyndigheten för att därefter godkännas och publiceras enligt en viss procedur. Tillsynsmyndigheterna har också möjlighet att godkänna särskilda organ som, vid sidan av tillsyns- myndigheten, ska övervaka att de godkända uppförandekoderna följs (artikel 38a). Enligt artikel 39 i dataskyddsförordningen ska medlemsstaterna, Europiska dataskyddsstyrelsen och kommissionen, framför allt på unionsnivå, även uppmuntra till att det införs certifieringsmekanis- mer och märkningar i syfte att personuppgiftsansvariga och per- sonuppgiftsbiträden ska kunna visa att de uppfyller kraven i förord- ningen. Sådan certifiering kan antingen utföras av särskilda certifie- ringsorgan eller av tillsynsmyndigheten. Dataskyddsförordningen kräver att medlemsstaterna inför bestämmelser för hur sådana sär- skilda certifieringsorgan ska godkännas (artikel 39a). Ett sådant organ kan antingen godkännas av tillsynsmyndigheten eller genom ackre- ditering enligt och rådets förordning (EG) nr 765/2008 av om krav för ackreditering och mark- nadskontroll i samband med saluföring av produkter. •bedöma hur certifieringsorgan ska godkännas, och •lämna sådana författningsförslag som är behövliga och lämpliga. Förhållandet till yttrande- och informationsfriheten och offentlighetsprincipen Enligt beaktandesats 72 i det nuvarande dataskyddsdirektivet är det möjligt att vid genomförandet av direktivet ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. Vidare ska medlemsstaterna, enligt artikel 9 i direktivet, med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, besluta om undan- tag och avvikelser från delar av direktivet om det är nödvändigt för att förena rätten till privatlivet med reglerna om yttrandefriheten. Vid genomförandet av dataskyddsdirektivet gjorde regeringen bedömningen att tryckfrihetsförordningen och yttrandefrihetsgrund- lagen inte behövde ändras (prop. 1997/98:44 s. 50). I 7 § första stycket PUL finns en upplysningsbestämmelse om att bestämmelser- na i lagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrund- lagen. I 8 § första stycket PUL upplyses vidare att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. När det gäller förhållandet till yttrande- och informationsfriheten utanför tryckfrihetsförordningens och ytt- randefrihetsgrundlagens tillämpningsområde görs i 7 § andra stycket PUL undantag från flertalet av lagens bestämmelser vid personupp- giftsbehandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Undantaget för journalistiska ändamål är inte begränsat till journalister eller traditionella mass- medier. Även en privatperson kan anses behandla personuppgifter för sådana ändamål, t.ex. på en blogg. I dataskyddsförordningen finns bestämmelser som ger ett tyd- ligt utrymme för nationell reglering om förhållandet mellan, å ena sidan, skyddet för personuppgifter och, å andra sidan, yttrande- och informationsfriheten och offentlighetsprincipen. Enligt artikel 80.1 i dataskyddsförordningen ska medlemsstaternas nationella lagstiftning förena rätten till skydd av personuppgifter i enlighet med förordningen med rätten till yttrande- och informa- tionsfrihet. Detta ska omfatta personuppgiftsbehandling för journa- listiska och akademiska ändamål samt för konstnärligt eller litterärt skapande. När det gäller behandling för sådana ändamål ska medlems- staterna enligt artikel 80.2 föreskriva om undantag eller avvikelser från stora delar av förordningens bestämmelser om det behövs för att förena rätten till skydd för personuppgifter med yttrande- och infor- mationsfriheten. Medlemsstaterna ska enligt artikel 80.3 underrätta kommissionen om de undantagsbestämmelser som de har antagit med stöd av denna reglering. Enligt artikel 80a i dataskyddsförordningen får personuppgifter i allmänna handlingar hos en myndighet eller vissa typer av organ lämnas ut i enlighet med unionsrätten eller nationell rätt i syfte att förena allmänhetens tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen. Enligt regeringens bedömning innebär denna reglering att det blir tydligare än i det nuvarande dataskyddsdirektivet att den EU-rättsliga dataskyddsregleringen inte inkräktar på området för tryckfrihets- förordningen och yttrandefrihetsgrundlagen. Som konstateras under avsnittet om de allmänna riktlinjerna för uppdraget ingår det därför inte i utredarens uppdrag att överväga eller lämna förslag till grund- lagsändringar. Utanför tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområde torde det även fortsättningsvis finnas behov av bestämmelser som – liksom 7 § andra stycket PUL – balanserar per- sonuppgiftsskyddet mot yttrande- och informationsfriheten. Det bör därför ingå i uppdraget att analysera hur sådana regler bör utformas. •analysera hur bestämmelser som balanserar personuppgiftsskyd- det mot yttrande- och informationsfriheten utanför tryckfrihets- förordningens och yttrandefrihetsgrundlagens tillämpningsområ- de bör utformas, och •lämna sådana författningsförslag som är behövliga och lämpliga. Myndigheters bevarande av allmänna handlingar och behandling av personuppgifter för arkivering i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål I personuppgiftslagen finns vissa centrala bestämmelser som rör la- gens förhållande till myndigheters arkivering av allmänna handling- ar och sådan personuppgiftsbehandling som sker för historiska, statistiska eller vetenskapliga ändamål. Av 8 § andra stycket PUL framgår att lagens bestämmelser inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I förarbetena till personuppgiftslagen bedömdes att myndigheternas bevarande av allmänna handlingar är tillåtet enligt de grundläggande bestämmel- serna i dataskyddsdirektivet, så länge de inte innehåller känsliga per- sonuppgifter. Det bedömdes däremot att ett särskilt undantag krävdes för att myndigheterna också skulle kunna bevara känsliga person- uppgifter. Det aktuella undantaget i 8 § andra stycket PUL omfattar också den insamling och det långtidsbevarande av personuppgifter som sker hos de särskilda arkivmyndigheterna (prop. 1997/98:44 s. 47–48). I 9 § PUL – där de grundläggande kraven på behandlingen av per- sonuppgifter regleras – finns vissa bestämmelser som särskilt rör behandling för historiska, statistiska eller vetenskapliga ändamål. framgår exempelvis att en behandling av personuppgifter för sådana ändamål inte ska anses oförenlig med insamlingsändamålen (andra stycket). Det finns vidare regler om hur länge personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål (tredje stycket) och begränsningar av när personuppgifter som behandlas för sådana ändamål får användas för att vidta åtgärder i fråga om den registrerade (fjärde stycket). Begränsningen i 9 § fjärde stycket PUL är en sådan lämplig skyddsåtgärd som krävs enligt artikel 6 i data- skyddsdirektivet. Enligt 8 § andra stycket PUL gäller dock inte denna begränsning för myndigheters användning av personuppgifter i all- männa handlingar. Detta undantag bygger på att det för sådana per- sonuppgifter finns andra lämpliga skyddsåtgärder i form av bestäm- melser om sekretess och skydd för arkiv (prop. 1997/98:44 s. 64). I dataskyddsförordningen finns ett antal bestämmelser som sär- skilt rör personuppgiftsbehandling för arkivändamål i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål. 5.1 b gäller exempelvis att behandling av personuppgifter för sådana ändamål, i enlighet med artikel 83.1, inte ska anses oförenlig med de ursprungliga ändamålen. Av artikel 5.1 e följer att person- uppgifter får lagras än vad som normalt gäller, om uppgifterna enbart kommer att behandlas för arkivändamål i allmänhetens intresse eller för vetenskapliga eller historiska forsk- ningsändamål eller för statistiska ändamål. Den förlängda bevarande- tiden gäller i den mån som lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 83.1 för att skydda de registrerades fri- och rättigheter. Det finns också särskilda bestäm- melser som innebär undantag från förbudet att behandla känsliga personuppgifter för aktuella ändamål i artikel 9.2 i, vilket har berörts i ett tidigare avsnitt. I artikel 19.2aa i dataskyddsförordningen föreskrivs vidare att den registrerade ska ha rätt att motsätta sig behandling för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål av skäl som rör hans eller hennes personliga situation, om inte behandlingen är nödvändig för utförandet av en arbetsuppgift av allmänt intresse. Genom artikel 83.2 och 83.3 ges medlemsstaterna möjlighet att före- skriva om undantag från denna och vissa andra av rättigheterna i för- ordningen. Detta får emellertid bara göras i den mån det kan antas att de aktuella rättigheterna skulle göra det omöjligt eller allvarligt försvå- ra uppnåendet av de särskilda ändamålen med behandlingen och sådana undantag är nödvändiga för att ändamålen ska kunna uppfyllas. De generella kraven på skyddsåtgärder i artikel 83.1 och särskilda bestämmelser om exempelvis lagringstid och gallring aktualiseras i stor utsträckning i sektorsspecifik lagstiftning. Detsamma gäller behovet av undantag med stöd av artikel 83.2 och 82.3 i förordningen. Det är emellertid av central betydelse att myndigheternas bevarande av allmänna handlingar inte hindras av dataskyddsregleringen och att myndigheternas möjlighet att använda uppgifter i dessa handlingar säkerställs. På samma sätt behöver en ändamålsenlig behandling av personuppgifter för annan arkivering i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål garanteras, som skyddet för den registrerades fri- och rättigheter beaktas. Utgångspunkten bör därför vara att vissa grundläggande bestämmelser, liknande de som finns i person- uppgiftslagen, behöver tas in i den generella regleringen som ska komplettera dataskyddsförordningen. •analysera vilka kompletterande bestämmelser om myndigheters bevarande av allmänna handlingar, användning av uppgifter i dessa och överlämnande av arkivmaterial till en arkivmyndighet som behövs i den generella regleringen, •analysera vilka övriga kompletterande bestämmelser om behand- ling av personuppgifter för arkivering i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål som bör finnas i den generella regleringen, och •lämna lämpliga författningsförslag. Personuppgiftslagen är generellt tillämplig vilket innebär att den också gäller för sådan behandling som faller utanför det nuvarande dataskyddsdirektivets tillämpningsområde, t.ex. statens verksamhet på straffrättens område, allmän säkerhet och försvar. Anledningen till att man valde denna lösning var bl.a. att det ansågs särskilt viktigt med ett starkt integritetsskydd för personuppgifter inom all offentlig verksamhet. Vidare ansågs den valda lösningen garantera att behovet av särregler i förhållande till personuppgiftslagen alltid övervägs noga i den ordning som krävs för författningsgivning (prop. 1997/98:44 s. 40–41). Dataskyddsförordningens tillämpningsområde motsvarar huvud- sakligen det nuvarande dataskyddsdirektivets. Det nya dataskydds- direktivets tillämpningsområde omfattar dock – till skillnad från det nuvarande dataskyddsrambeslutet – myndigheters rent nationella personuppgiftsbehandling för brottsbekämpande och liknande ända- mål. Detta innebär att den nya EU-rättsliga dataskyddsregleringen kommer att täcka ett något större område. Det kommer emellertid fortfarande att finnas ett område som inte täcks av EU-regleringen. Inom detta område har vissa särskilda regelverk för behandling av personuppgifter, t.ex. lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Av 1 § andra stycket i respektive lag framgår att personuppgiftslagen inte gäller vid personuppgiftsbehand- ling enligt den aktuella lagen. För Försvarsmaktens och Försvarets radioanstalts övriga verksamheter där personuppgiftsbehandling kan förekomma, t.ex. i samband med myndigheternas interna och admi- nistrativa åtgärder, tillämpas till största del personuppgiftslagen. Lagen (1998:938) om behandling av personuppgifter om totalför- svarspliktiga är ett exempel på lagstiftning som gäller utöver person- uppgiftslagen. Det innebär att personuppgiftslagens regler är tillämp- liga i den utsträckning det inte finns avvikande bestämmelser i lagen om behandling av personuppgifter om totalförsvarspliktiga. I utredarens uppdrag ingår inte att se över de lagar på försvarsom- rådet som har nämnts eller andra sektorsspecifika särregleringar. Det kan emellertid förekomma personuppgiftsbehandling utanför tillämpningsområde som inte omfattas av någon sektors- specifik reglering. Utredaren bör undersöka denna fråga närmare och överväga om det finns behov av en generell reglering för sådan personuppgiftsbehandling. En sådan reglering skulle exempelvis kun- na innebära att bestämmelserna i förordningen i relevanta delar görs tillämpliga inom detta område. •undersöka om det finns personuppgiftsbehandling utanför EU- rättens tillämpningsområde som inte omfattas av särreglering, •överväga om det behöver införas generella bestämmelser för sådan personuppgiftsbehandling, och •lämna sådana författningsförslag som är behövliga och lämpliga. Förhållandet till sektorsspecifik reglering och behovet av övergångsbestämmelser Personuppgiftslagen är subsidiär, vilket innebär att lagen inte ska till- lämpas om det finns avvikande bestämmelser i en annan lag eller för- ordning (2 § PUL). Sådana bestämmelser finns bl.a. i särskilda regis- terförfattningar. Frågan om förhållandet till sektorsspecifik reglering kan aktualiseras även när det gäller den kompletterande reglering som utredaren ska lägga fram förslag till. Så kan exempelvis vara fallet när det gäller eventuella förslag till bestämmelser om stöd för behandling av personuppgifter i den offentliga sektorn och till generell reglering för personuppgiftsbehandling utanför tillämpningsom- råde. I uppdraget ingår därför att analysera om det finns behov att reg- lera förhållandet mellan den kompletterande regleringen och sektors- specifika föreskrifter. Personuppgiftslagen måste upphävas redan i samband med att dataskyddsförordningen börjar tillämpas. Det kan därför finnas behov av övergångsbestämmelser som i första hand innebär att lagen fortsätter att gälla för sådan personuppgifts- behandling som inte täcks av förordningens tillämpningsområde. •analysera hur bestämmelserna i det kompletterande generella regelverket bör förhålla sig till bestämmelser om behandling av personuppgifter i annan lag eller förordning, •lämna behövliga och lämpliga författningsförslag, och •lämna förslag till lämpliga övergångsbestämmelser. Utredaren är oförhindrad att inom de ramar som anges i de allmänna riktlinjerna ta upp och belysa även andra frågeställningar som är rele- vanta för uppdraget. Om utredaren kommer fram till att det krävs eller är lämpligt med kompletterande generella nationella bestämmel- ser i andra delar än de som ska utredas särskilt, ska sådana föreslås. Utredaren ska bedöma de ekonomiska konsekvenserna av förslagen för det allmänna och för enskilda. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Utredaren ska särskilt ange konsekvenser för företagen i form av kostnader och ökade administrativa bördor. Utre- daren ska också redovisa förslagens konsekvenser för den personliga integriteten. Samråd och redovisning av uppdraget Utredaren ska hålla sig informerad om och beakta relevant arbete som bedrivs inom , utredningsväsendet och inom EU. Vid anpassningen av svensk rätt till den nya EU-regleringen bör en enhetlig tolkning av regelverket eftersträvas. Utredaren ska därför följa och i lämplig omfattning samråda med övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av EU:s dataskydds- regelverk. Till sådana utredningar hör bl.a. utredningen om tillsynen över den personliga integriteten (Ju 2015:02) och utredningen om kameraövervakningslagen – brottsbekämpning och integritetsskydd (Ju 2015:14), samt den kommande utredningen om genomförandet av det nya dataskyddsdirektivet. Samråd är särskilt viktigt i proces- suella frågor och frågor som rör sanktioner, tillsynsmyndigheten och arkivering. Under genomförandet av uppdraget ska utredaren, i den utsträckning som bedöms lämplig, också ha en dialog med och inhämta upplysningar från myndigheter, näringslivet och andra som kan vara berörda av aktuella frågor. Uppdraget ska redovisas . Europeiska unionens officiella tidning L 119/1 OCH RÅDETS FÖRORDNING (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria f lödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (Text av betydelse för EES) OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av yttrande (2), i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande. (3)och rådets direktiv /46/EG (4) syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. (1) EUT C 229, 31.7.2012, s. 90. (2) EUT C 391, 18.12.2012, s. 127. (3) ståndpunkt av (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av (ännu ej offentliggjord i EUT). (4) och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31). L 119/2 Europeiska unionens officiella tidning (4)Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen.