sou · H5B366 · 2017-08-31 00:00:00 — I avsnitt 9.20 har utredningen gjort bedömningen att det inte finns skäl att reglera möjligheten att överklaga i registerförfatt- ningar på annat sätt än i enlighet med vad som följer av den för- slagna dataskyddslagen. Det har inte framkommit några särskilda skäl som motiverar att möjligheten att överklaga beslut inom social- tjänsten ska vara mer omfattande än vad som gäller i övriga verksam- 2000/01:80 s. 135–137. 2000/01:80 s. 159. Författningar som reglerar en verksamhet Utredningen gör därför bedömningen att bestämmelserna om överklagande i den föreslagna dataskyddslagen bör gälla även inom tillämpningsområdet för lagen om behandling av personuppgif- ter inom . Bestämmelsen i 10 § lagen om behandling av personuppgifter inom bör därför, i enlighet med utredningens bedömning i avsnitt 9.20, upphävas. Om det under den fortsatta beredningen av utredningens för- slag skulle framkomma skäl som talar emot att ta bort möjligheten att överklaga beslut som fattats av enskilda, bör det i stället över- vägas att formulera om bestämmelsen på så sätt att den stämmer överens med regleringen i den föreslagna dataskyddslagen. Utredningens bedömning: De bemyndiganden som ges i 11 § lagen om behandling av personuppgifter inom be- höver inte ändras. I 11 § första stycket lagen om behandling av personuppgifter inom ges regeringen, eller den myndighet som regeringen bestämmer, rätt att meddela föreskrifter om vilka som är person- uppgiftsansvariga och om begränsning av den i 6 § tillåtna behand- lingen av personuppgifter samt om sökbegrepp, direktåtkomst och samkörning av personuppgifter. Enligt 11 § andra stycket får reger- ingen även meddela föreskrifter om när personuppgifter får föras över till tredjeland. Dataskyddsförordningen hindrar inte att före- skrifter meddelas på dessa områden och inte heller att föreskrifts- rätten delegeras. De bemyndiganden som ges i 11 § lagen om be- handling av personuppgifter inom är således förenliga med dataskyddsförordningen och behöver inte ändras. Författningar som reglerar en verksamhet 10.10Förordningen (2001:637) om behandling av personuppgifter inom Utredningens förslag: Förordningen om behandling av person- uppgifter inom kompletteras med en bestämmelse som innebär att förordningen inte ska tillämpas vid sådan be- handling av personuppgifter som omfattas av den föreslagna brottsdatalagen. Utredningens bedömning: Det krävs i övrigt inga förändringar av tillämpningsområdet i 1 § förordningen om behandling av personuppgifter inom . Förordningen om behandling av personuppgifter inom reglerar enligt 1 § behandlingen av personuppgifter inom social- tjänsten för , kommunala myndigheter, privat verksamhet, Inspektionen för vård och omsorg och Social- styrelsen enligt lagen om behandling av personuppgifter inom social- tjänsten. I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka upp- gifter författningen ska tillämpas på inte i sig påverkas av data- skyddsförordningen. Förordningen om behandling av personupp- gifter inom kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som . Även bestämmelser om på vilken verksamhet författningen ska tillämpas kan, enligt den bedömning utredningen gjort i avsnitt 9.5, som regel behållas. Förordningen om behandling av personuppgif- ter inom omfattar dock, liksom lagen om behandling av personuppgifter inom (se avsnitt 10.9.1), även viss behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Sådan behandling omfattas, som anges i avsnitt 9.5, inte av dataskyddsförordningens tillämp- Författningar som reglerar en verksamhet ningsområde utan av det nya dataskyddsdirektivet, som i huvudsak föreslås genomföras genom en ny brottsdatalag.31 Utredningen gör därför, i likhet med vad som anges i av- snitt 10.9.1, bedömningen att även förordningen om behandling av personuppgifter inom bör förses med en bestäm- melse som innebär att sådan verksamhet som omfattas av den före- slagna brottsdatalagen undantas från förordningens tillämpnings- område. En sådan bestämmelse bör införas i en ny paragraf som placeras direkt efter 1 §. I övrigt föranleder dataskyddsförordningen inte någon ändring av tillämpningsområdet för förordningen om behandling av person- uppgifter inom . Utredningens förslag: Hänvisningar till personuppgiftslagen och lagen om behandling av personuppgifter inom i förordningen om behandling av personuppgifter inom social- tjänsten tas bort. I 2–5 §§ förordningen om behandling av personuppgifter inom finns olika upplysningsbestämmelser. Upplysningar om författningar som även fortsättningsvis är relevanta behöver inte ändras, medan hänvisningar till personuppgiftslagen bör tas bort eftersom den lagen kommer att upphävas. Hänvisningen till lagen om behandling av personuppgifter inom i 4 § förordningen om behandling av personuppgifter inom tas bort, eftersom den inte bedöms vara nödvändig. 31 SOU 2017:29. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelserna om personuppgifts- ansvar i 6, 11, 17 och 22 §§ förordningen om behandling av per- sonuppgifter inom kan och bör behållas. Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. 10.10.4 Ändamål och grund för behandling av personuppgifter Utredningens bedömning: Bestämmelserna i 7 §, 12 § första stycket, 18 och 23 §§ förordningen om behandling av person- uppgifter inom om för vilka ändamål personupp- gifter får behandlas behöver inte ändras. Ändamålsbestämmelserna i förordningen om behandling av person- uppgifter inom begränsar och definierar det ändamål som framgår av 6 § första stycket lagen om behandling av person- uppgifter inom . Av utredningens överväganden rörande 6 § första stycket lagen om behandling av personuppgifter inom framgår att det finns stöd för ändamålet i data- skyddsförordningen, se avsnitt 10.9.3. De föreskrivna ändamålen i 7 §, 12 § första stycket, 18 och 23 §§ förordningen om behandling av personuppgifter inom begränsar det vidsträckta ändamålet genom att koppla möjligheterna att behandla person- uppgifter till sådan verksamhet som ska utföras enligt socialtjänst- lagen (2001:453). Ändamålsbestämmelserna kan därmed, av samma skäl som anges i avsnitt 10.9.3, behållas. Författningar som reglerar en verksamhet Utredningens förslag: Bestämmelsen om behandling av person- uppgifter som rör hälsa i 12 § andra stycket förordningen om behandling av personuppgifter inom bör innehålla en hänvisning till definitionen av känsliga personuppgifter i 7 § första stycket 2 lagen (2001:454) om behandling av personupp- gifter inom . Utredningens bedömning: I övrigt kan och bör bestämmelsen behållas. En myndighet får enligt 12 § andra stycket förordningen om behandling av personuppgifter inom vid hand- läggning av ärenden om tillstånd till parkering för rörelsehindrade och som följer av bestämmelserna i körkortsförordningen inte be- handla andra känsliga personuppgifter än uppgifter som rör hälsa. Bestämmelsen utgör en inskränkning i förhållande till den all- männa bestämmelsen om behandling av känsliga personuppgifter i 7 § lagen (2001:454) om behandling av personuppgifter inom social- tjänsten som berörts i avsnitt 10.9.5. Det är, som framgår av utred- ningens bedömning i avsnitt 9.11.1, möjligt att endast tillåta behand- ling av vissa kategorier av känsliga personuppgifter. Möjligheten att behandla känsliga personuppgifter bör, i enlig- het med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga person- uppgifter, dvs. genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det emellertid att de olika kategori- erna av känsliga personuppgifter överlappar varandra. Sådana upp- gifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa, kan enligt utredningens bedömning behandlas med stöd av bestämmelsen i 12 § andra stycket förord- ningen om behandling av personuppgifter inom . Utred- ningen har övervägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att uppgifter som rör hälsa, inklusive gene- tiska och biometriska uppgifter och uppgifter om sexuell läggning, Författningar som reglerar en verksamhet får behandlas, på samma sätt som anges i avsnitt 10.1.11 och 12.8.4. Eftersom det inte framstår som sannolikt att det för ändamålet finns behov av att behandla sådana uppgifter om hälsa, som sam- tidigt omfattas av någon av de nya kategorierna av känsliga person- uppgifter, saknas det dock enligt utredningens bedömning anled- ning att införa ett sådant förtydligande. Bestämmelsen kan och bör därmed behållas. Den bör dock i förtydligande syfte innehålla en hänvisning till definitionen av känsliga personuppgifter i 7 § första stycket 2 lagen om behandling av personuppgifter inom . Eftersom möjligheten att behandla känsliga personuppgifter inom grundar sig på undantaget avseende hälso- och sjukvård och social omsorg i artikel 9.2 h i dataskyddsförordningen, krävs det enligt artikel 9.3 i dataskyddsförordningen också att upp- gifterna behandlas av eller under ansvar av någon som omfattas av tystnadsplikt. Utredningen har i avsnitt 10.9.5 föreslagit att en be- stämmelse som påminner om kravet på tystnadsplikt enligt arti- kel 9.3 i dataskyddsförordningen tas in i lagen om behandling av personuppgifter inom . Någon sådan bestämmelse be- höver därför inte tas in i förordningen. Utredningens bedömning: Bestämmelserna i 9, 10, 15, 20, 21, 24 och 25 §§ förordningen om behandling av personuppgifter inom behöver inte ändras med anledning av data- skyddsförordningen. Bestämmelser om sökbegrepp, samkörning, och begränsningar i fråga om direktåtkomst är enligt utredningen att anse dels som ut- tryck för dataskyddsförordningens princip om uppgiftsminimering och dels som säkerhetsåtgärder/skyddsåtgärder enligt dataskydds- förordningen. Sådana restriktioner och krav för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskyddsförordningen börjar tillämpas. För enskilda är, som utredningen konstaterat i samma avsnitt, restriktioner och krav tillåtna när den ursprungliga behandlingen grundar sig på artikel 6.1 e i dataskyddsförordningen, vilket är fallet i fråga om . gällande regler rörande sökbegrepp i Författningar som reglerar en verksamhet 9, 15, 20 och 25 §§, samkörning i 10 och 21 §§ och begränsning i fråga om direktåtkomst i 24 § förordningen om behandling av person- uppgifter inom behöver därför inte ändras. Utredningens bedömning: Uppgiftsskyldigheterna i 10 a § för- ordningen om behandling av personuppgifter inom påverkas inte av dataskyddsförordningen och behöver inte ändras. I 10 a § förordningen om behandling av personuppgifter inom social- tjänsten föreskrivs olika sekretessbrytande uppgiftsskyldigheter. Utredningen har i avsnitt 9.21 konstaterat att befintliga uppgifts- skyldigheter är lika tillåtna enligt dataskyddsförordningen som en- ligt dataskyddsdirektivet. Bestämmelsen behöver därför inte ändras med anledning av dataskyddsförordningen. När uppgiftsskyldig- heten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. 10.10.8 Överföring av personuppgifter till tredjeland Utredningens bedömning: Bestämmelsen i 16 § förordningen om behandling av personuppgifter inom behöver inte ändras med anledning av dataskyddsförordningen. Enligt 16 § förordningen om behandling av personuppgifter inom får en myndighet föra över uppgifter till tredjeland i ett ärende om fastställande av faderskap och om inter- nationella adoptioner. Vid bestämmelsens tillkomst får det antas ha bedömts finnas stöd för överföring av personuppgifter enligt arti- kel 26.1 d i dataskyddsdirektivet. Motsvarande möjligheter till över- föring av uppgifter till tredjeland med hänsyn till viktiga skäl som rör allmänintresset finns i artikel 49.1 d i dataskyddsförordningen. Utredningen har i avsnitt 9.8.2 bedömt att bedrivande av verksam- het som ska finnas i enlighet med internationella rättighetsstadgor är sådana allmänna intressen som avses i bl.a. artikel 49.1 d i data- skyddsförordningen. Enligt EU:s rättighetsstadga har var och en Författningar som reglerar en verksamhet rätt till respekt för sitt familjeliv (artikel 7), och rätten att bilda familj ska garanteras i nationell rätt (artikel 9). Överföring av person- uppgifter till tredjeland i ärende om fastställande av faderskap och om internationella adoptioner får därmed anses motiverat med stöd av ett allmänt intresse. Enligt artikel 49.4 i dataskyddsförordningen ska allmänintresset vara erkänt i unionsrätten eller i nationell rätt. Utöver vad som regleras i EU:s rättighetsstadga finns bestämmelser om fastställande av faderskap och adoption i bl.a. 1, 2 och 4 kap. . Personuppgifter kan därmed även enligt dataskyddsförordningen föras över till tredjeland i ärenden om fastställande av faderskap och om internationella adoptioner. En bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten behöver, i enlighet med vad utredningen konstaterat i avsnitt 9.14, inte ändras om den i övrigt har stöd i dataskyddsförordningen. Bestämmelsen i 16 § förord- ningen om behandling av personuppgifter inom kan därmed behållas. Utredningens bedömning: De bemyndiganden som ges i 26 § förordningen om behandling av personuppgifter inom social- tjänsten behöver inte ändras. I 26 § förordningen om behandling av personuppgifter inom social- tjänsten ges bemyndigande att meddela föreskrifter om sammanställningar av personuppgifter samt verkställighetsföre- skrifter. Dataskyddsförordningen hindrar inte att föreskrifter med- delas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i 26 § förordningen om behandling av personuppgifter inom är således förenliga med data- skyddsförordningen och behöver inte ändras. Författningar som reglerar en verksamhet 10.11Förordningen (2009:1422) om behandling av personuppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag Utredningens förslag: Det tydliggörs att lagen om kommunalt vårdnadsbidrag är upphävd. Utredningens bedömning: Bestämmelsen i 1 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kommunalt vård- nadsbidrag kan i övrigt behållas. I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. Bestämmelsen om tillämpningsområde i 1 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag kan alltså behållas i sak. Regeringen har utfärdat förordningen om behandling av person- uppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag som en följd av lagen (2008:307) om kommunalt vårdnadsbidrag som upphävdes vid ut- gången av , med viss övergångsbestämmelse. Utred- ningen tar inte ställning till det fortsatta behovet av förordningen, men det bör tydliggöras att lagen om kommunalt vårdnadsbidrag, som förordningen hänvisar till, är upphävd. Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 2 § förordningen om behandling av personuppgifter i verksamhet med framställning av stati- stik över kommunalt vårdnadsbidrag kan och bör behållas. Författningar som reglerar en verksamhet Som framgår av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 2 § förordningen om behandling av personuppgifter i verksamhet med fram- ställning av statistik över kommunalt vårdnadsbidrag kan och bör därför behållas. 10.11.3 Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 3 § förordningen om be- handling av personuppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag ska innehålla en upplysning om att lagen kompletterar dataskydds- förordningen. Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av förordningen om behandling av personupp- gifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag. Utredningens bedömning: Förhållandet till lagen om den offici- ella statistiken kan anges på samma sätt som . Av 3 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag framgår att flera bestämmelser i lagen (2001:99) om den officiella statistiken gäller när Statistiska central- byrån behandlar personuppgifter för att framställa statistik över kommunalt vårdnadsbidrag. Bestämmelserna gäller generellt för statistikansvariga myndigheter och avser vilka personuppgifter som får behandlas och vad som gäller i fråga om gallring. En översyn av hur dessa bestämmelser förhåller sig till dataskyddsförordningen kommer inte att göras av utredningen, eftersom lagen om den officiella statistiken omfattas av verksamhets- område. I det fortsätta lagstiftningsarbetet bör dock hänvisningarna stämmas av mot eventuella ändringar i lagen om den officiella stati- stiken. Författningar som reglerar en verksamhet I fråga om förhållandet till övrig lagstiftning bör bestämmelsen utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. 10.11.4 Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagen i 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för finalitetsprincipen. Utredningens bedömning: I övrigt kan och bör ändamålsbestäm- melserna i 4 § förordningen om behandling av personuppgifter i verksamhet med framställning av stati- stik över kommunalt vårdnadsbidrag behållas. Av 4 § första stycket förordningen om behandling av personupp- gifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag framgår att behandling av personuppgifter får ske inom ramen för ett uppdrag från reger- ingen som gäller framställning av statistik över det kommunala vårdnadsbidraget. Eftersom regeringens uppdrag till myndigheter generellt sett har karaktären av ett allmänt intresse, sker behand- lingen av personuppgifter med stöd av artikel 6.1 e i dataskydds- förordningen. Enligt 4 § andra stycket första meningen förordningen om be- handling av personuppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag får personuppgifter som behandlas för det ändamål som anges i första stycket också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Sådant utlämnande som sker till följd av en uppgiftsskyldighet är nödvändigt för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsför- ordningen. I den mån uppgiftslämnandet inte grundar sig på en skyl- dighet utan på en möjlighet att lämna uppgifter, får uppgiftslämnandet Författningar som reglerar en verksamhet anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. I 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i verksamhet med fram- ställning av statistik över kommunalt vårdnadsbidrag hänvisas till 9 § första stycket d och andra stycket personuppgiftslagen. Hänvis- ningen innebär att den s.k. finalitetsprincipen, dvs. att personupp- gifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, gäller. Hänvisningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Som anges i avsnitt 9.10.3 kan registerförfattningar även fort- sättningsvis, i syfte att förtydliga att de uppräknade ändamålen inte är uttömmande, innehålla bestämmelser med innebörden att be- handling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Eftersom personuppgiftslagen kommer att upphöra att gälla, bör bestämmelsen utformas i enlighet med vad som anges i det avsnittet. 10.11.5 Personuppgifter som får behandlas Utredningens förslag: Det förtydligas i 5 § förordningen om behandling av personuppgifter i verk- samhet med framställning av statistik över kommunalt vårdnads- bidrag att förordningen om skyldighet för kommuner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är upphävd. Utredningens bedömning: Bestämmelsen i 5 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kommunalt vård- nadsbidrag behöver i övrigt inte ändras med anledning av data- skyddsförordningen. Författningar som reglerar en verksamhet får enligt 5 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kommunalt vårdnadsbidrag behandla personuppgifter i enlighet med vad som följer av 14 § lagen (2001:99) om den officiella statistiken och 2 § förordningen (2009:1421) om skyldighet för kommuner att lämna statistiska uppgifter om kom- munalt vårdnadsbidrag. Bestämmelsen i 14 § lagen om den officiella statistiken ger sta- tistikansvariga myndigheter en generell rätt att behandla person- uppgifter för ändamålet framställning av statistik. Bestämmelsen omfattas inte av utredningens genomgång av olika författningars förenlighet med dataskyddsförordningen, eftersom lagen om den officiella statistiken ligger inom verksam- hetsområde. I den mån hänvisningen medför att behandling av känsliga personuppgifter tillåts får den enligt utredningens bedöm- ning i vart fall anses nödvändig av hänsyn till ett viktigt allmänt intresse. Behandlingen är därmed tillåten med stöd av undantaget i artikel i dataskyddsförordningen, i enlighet med vad som anges i avsnitt 9.11.3. Förordningen om skyldighet för kommuner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är upphävd men i den tidigare gällande 2 § finns en uppräkning av vilka uppgifter den kommunala nämnd som handlade vårdnads- bidrag skulle lämna till . Uppräkningen om- fattar bl.a. uppgift om personnummer. Som anges i avsnitt 9.13 kan och bör bestämmelser om behandling av personnummer behållas. Att det i övrigt anges vilka personuppgifter som får behandlas stäm- mer väl överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen – att uppgifterna ska vara adekvata, rele- vanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behöver behandlas av har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan in- föra begränsningar för sina myndigheter. Bestämmelsen i 5 § för- ordningen om behandling av personuppgifter i Statistiska central- Författningar som reglerar en verksamhet byråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag bör därmed inte ändras i sak. Det bör dock framgå av förordningstexten att förordningen om skyldighet för kommu- ner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är upphävd.