sou · H5B366 · 2017-08-31 00:00:00 — I fråga om register över fällande domar i brottmål är regleringen densamma. Därutöver anges i dataskyddsdirektivet att medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tviste- mål också ska behandlas under kontroll av en myndighet. I data- skyddsförordningen saknas denna skrivning. Bestämmelsen i dataskyddsdirektivet har kommit till uttryck i 21 § personuppgiftslagen. Där anges att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden. Ändringen från brottmålsdomar till fällande domar i brottmål innebär en begränsning av bestämmelsens tillämpningsområde till att omfatta enbart fällande brottmålsdomar. Det utökar möjlig- heterna för andra än myndigheter att behandla uppgifter om brott- målsdomar, men påverkar inte myndigheternas möjligheter. Vad gäller ändringen från lagöverträdelser till överträdelser gör bedömningen att någon förändring i sak inte har varit avsedd genom det justerade ordvalet.32 Utredningen gör samma bedömning. Dataskyddsförordningens bestämmelse med- för således inte någon förändring av möjligheterna att behandla personuppgifter om lagöverträdelser i förhållande till vad som gällt enligt dataskyddsdirektivet. har föreslagit en ny bestämmelse i 3 kap. 10 § förslaget till dataskyddslag som innebär att den myndig- het som regeringen bestämmer i enskilda fall får besluta att person- uppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel får behandlas av andra än myndigheter. Regeringen eller den myndighet som reger- ingen bestämmer föreslås också enligt 3 kap. 12 § förslaget till data- skyddslag få meddela föreskrifter om i vilka fall andra än myndig- heter får behandla sådana personuppgifter. 32 SOU 2017:39 s. 193. Allmänt om befintliga bestämmelser i förslaget till den anknytande förordningen, där också Data- inspektionen föreslås vara den myndighet som såväl i enskilda fall som genom generella föreskrifter får besluta om vilka andra än myndigheter som får behandla de aktuella personuppgifterna.33 De personuppgifter som omfattas av bestämmelserna skiljer sig något från vad som omfattas av personuppgiftslagens reglering på grund av den ändrade regleringen i dataskyddsförordningen. Använd- ningen av begreppet fällande domar i brottmål innebär att friande brottmålsdomar inte omfattas av förbudet. Regleringen innebär också att det inte kommer att finnas något förbud mot behandling av personuppgifter om administrativa frihetsberövanden motsva- rande det som finns i 21 § personuppgiftslagen. Dataskydds- utredningen har konstaterat att det inte är helt klart i vilken ut- sträckning uppgifter som rör misstankar om brott omfattas av arti- kel 10 i dataskyddsförordningen.34 Personuppgifter om lagöverträdelser får således behandlas av en myndighet under förutsättning att det finns lagligt stöd för be- handlingen enligt artikel 6.1 i dataskyddsförordningen. Det krävs inga särskilda ställningstaganden för myndigheters behandling av sådana personuppgifter utöver de ställningstaganden som har gjorts i avsnitt 9.10 om rättslig grund för behandling av personuppgifter. Några särskilda analyser av myndigheters behandling av uppgifter om lagöverträdelser i förhållande till dataskyddsförordningen är således inte nödvändig. Behandling av personuppgifter som rör fällande domar i brott- mål och överträdelser eller därmed sammanhängande säkerhets- åtgärder utan kontroll av en myndighet kan enligt artikel 10 i data- skyddsförordningen tillåtas i den nationella rätten om lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fast- ställs. Ett krav på lämpliga och specifika skyddsåtgärder finns också i artikel 8.5 i dataskyddsdirektivet. Kraven på skyddsåtgärder får enligt utredningens bedömning anses innebära detsamma i data- skyddsförordningen och dataskyddsdirektivet. För att andra person- uppgiftsansvariga än myndigheter fortsättningsvis ska få behandla sådana uppgifter som anges i artikel 10 gäller således samma förut- sättningar som . Någon ny analys av tillämpliga skyddsåtgärder 34SOU 2017:39 s. 193. Allmänt om befintliga bestämmelser krävs därför inte. Bestämmelser som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör därför behållas. Registerförfattningar innehåller inte så sällan, såsom lämpliga och specifika skyddsåtgärder i de fall enskildas behandling om- fattas, bestämmelser som begränsar möjligheterna att behandla sådana uppgifter om lagöverträdelser som avses i 21 § personupp- giftslagen. Det kan t.ex. röra sig om sökbegränsningar. Dessa be- gränsningar omfattar alltså även uppgifter om friande domar i brott- mål och administrativa frihetsberövanden. Trots att det för myndig- heters behandling inte finns något motsvarande krav på skyddsåtgär- der omfattas även dessa av begränsningarna i de fall registerförfatt- ningen tillämpas på såväl myndigheters som enskildas behandling. Det är enligt utredningens mening svårt att se varför myndig- heter och enskilda skulle få behandla sådana kategorier av person- uppgifter som de inte har bedömts ha behov av att behandla bara därför att dataskyddsförordningen gör det möjligt. Dataskydds- förordningen hindrar inte heller att medlemsstaterna i nationell rätt har mer restriktiva bestämmelser än enligt dataskyddsförordningen för sina egna myndigheters behandling av personuppgifter (se av- snitt 9.2). Även behandling som utförs av privata subjekt kan regleras i mer specifika bestämmelser så länge behandlingen stödjer sig på någon av de rättsliga grunderna fullgörande av rättslig för- pliktelse eller utförande av arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (se avsnitt 9.3). Det är därför under dessa förutsättningar tillåtet att behålla begränsningarna för de personuppgifter som avses i 21 § personuppgiftslagen men som inte omfattas av artikel 10 i dataskyddsförordningen. Av samma skäl kan även bestämmelser om skyddsåtgärder behållas. Begräns- ningar av enskildas behandling av personuppgifter, som omfattas av artikel 10 i dataskyddsförordningen, är dessutom tillåtna i form av skyddsåtgärder enligt samma artikel. Bestämmelser i registerförfattningar som begränsar möjligheten att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och admi- nistrativa frihetsberövanden kan och bör därför behållas, trots att definitionen av uppgifter om lagöverträdelser i registerförfattning- arna inte blir enhetlig med den som finns i dataskyddsförordningen och den föreslagna dataskyddslagen. Omfattar bestämmelsen en- skildas behandling, måste det dock först konstateras att behand- Allmänt om befintliga bestämmelser lingen har en sådan rättslig grund att det är tillåtet med mer speci- fika bestämmelser. Om så inte är fallet, får begränsningarna inte gälla för uppgifter om friande domar i brottmål eller administrativa frihetsberövanden, eftersom sådana uppgifter inte omfattas av data- skyddsförordningens krav på begränsningar. Utredningens bedömning: Bestämmelser om personnummer och samordningsnummer i registerförfattningar kan och bör behållas. Av artikel 8.7 i dataskyddsdirektivet framgår att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. I gäller enligt 22 § personuppgiftslagen att uppgifter om personnummer eller samordningsnummer får behandlas utan sam- tycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Dataskyddsförordningen ställer inget krav på att medlems- staterna ska bestämma under vilka förutsättningar nationella identi- fikationsnummer (personnummer) får behandlas. I stället anges i artikel 87 i dataskyddsförordningen att medlemsstaterna får när- mare bestämma på vilka särskilda villkor ett nationellt identifika- tionsnummer eller något annat vedertaget sätt för identifiering får behandlas. I ett tillägg anges, till skillnad från vad som gäller enligt dataskyddsdirektivet, att sådana uppgifter i sådana fall endast ska användas med iakttagande av lämpliga skyddsåtgärder för de regi- strerades rättigheter och friheter enligt dataskyddsförordningen. har i sitt förslag till dataskyddslag före- slagit en bestämmelse med samma innehåll som 22 § personupp- giftslagen. har dessutom föreslagit att regeringen ska få meddela ytterligare föreskrifter om i vilka fall behandling av person- och samordningsnummer är tillåten. Sådana föreskrifter kan meddelas i sektorsspecifika författningar.35 35 SOU 2017:39 s. 199–200. Allmänt om befintliga bestämmelser Registerförfattningar innehåller normalt inte några särskilda vill- kor om när personnummer får eller inte får behandlas. kan det av en registerförfattning dock uttryckligen framgå att person- nummer får registreras, t.ex. i en databas, eller att (bara) person- nummer får användas som sökbegrepp vid vissa sökningar. Dessa typer av bestämmelser kan enligt utredningens mening inte i sig anses ställa upp några särskilda villkor om behandlingen av person- nummer. I sådant fall behöver det inte iakttas några lämpliga skydds- åtgärder enligt artikel 87 i dataskyddsförordningen. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor och skulle artikel 87 i dataskyddsförordningen då innebära krav på nationell rätt om iakttagande av lämpliga skyddsåtgärder, är de bestämmelser som redan finns i den aktuella registerförfattningen att anse som lämpliga skyddsåtgärder (se avsnitt 9.16.2). Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter överföring av personuppgifter till tredjeland behö- ver inte ändras, om det finns stöd för överföringen i dataskydds- förordningen. Som allmän princip gäller enligt artikel 44 i dataskyddsförord- ningen att överföring av personuppgifter till ett tredjeland eller en internationell organisation bara får ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i dataskyddsförordningen, uppfyller vill- koren i artikel 45–49. Av artikel 25.1 i dataskyddsdirektivet, som är utformad som en huvudregel, framgår att medlemsstaterna ska föreskriva att över- föringen av personuppgifter till tredjeland endast får ske om ifråga- varande tredjeland säkerställer en adekvat skyddsnivå. Någon mot- svarande generell bestämmelse som tillåter överföring till tredjeland vid adekvat skyddsnivå i det landet finns inte i dataskyddsförord- ningen. Kravet på adekvat skyddsnivå har kommit till uttryck i 33 § personuppgiftslagen. Enligt den paragrafen är det förbjudet att till tredjeland föra över personuppgifter, om landet inte har en adekvat nivå för skyddet av personuppgifterna. Allmänt om befintliga bestämmelser Av artikel 45 i dataskyddsförordningen framgår att personupp- gifter får överföras till ett tredjeland eller en internationell organi- sation om kommissionen har beslutat att tredjelandet, ett territo- rium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå. Artikeln förutsätter alltså ett beslut från kommissionen. Motsvarande bestämmelse finns i artikel 25.6 i dataskyddsdirektivet. I avsaknad av ett beslut från kommissionen får en personupp- giftsansvarig eller ett personuppgiftsbiträde enligt artikel 46 i data- skyddsförordningen endast överföra personuppgifter till ett tredje- land eller en internationell organisation efter att ha vidtagit lämp- liga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgäng- liga. Lämpliga skyddsåtgärder får bl.a. ta formen av bindande före- tagsbestämmelser, för vilka förutsättningarna anges i artikel 47 i dataskyddsförordningen. Motsvarande undantag finns i artikel 26.2 i dataskyddsdirektivet. Artikel 48 i dataskyddsförordningen slår fast att domstolsbeslut eller beslut från myndigheter i tredjeland om krav på att lämna ut personuppgifter får erkännas eller genomföras endast om det grun- dar sig på en internationell överenskommelse, som gäller mellan det begärande tredjelandet och unionen eller en medlemsstat. Någon motsvarande bestämmelse finns inte i dataskyddsdirektivet. Om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45 eller vidtagna lämpliga skyddsåtgärder enligt artikel 46, får personuppgifter överföras till ett tredjeland eller en internatio- nell organisation endast om minst ett av flera – i artikel 49 i data- skyddsförordningen angivna – villkor är uppfyllt. Personuppgifter får överföras om överföringen sker med stöd av samtycke från den registrerade (a), om överföringen är nödvändig för att fullgöra ett avtal mellan den personuppgiftsansvarige och den registrerade eller en annan fysisk eller juridisk person som agerar i den registrerades intresse (b och c), om överföringen är nödvändig av viktiga skäl som rör allmänintresset (d), om överföringen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (e), om över- föringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (f), eller om över- föringen görs från ett register som enligt unionsrätten eller med- Allmänt om befintliga bestämmelser lemsstaternas nationella rätt är avsett att ge allmänheten informa- tion (g). Motsvarande villkor anges i artikel 26.1 i dataskydds- direktivet, och i 34 § personuppgiftslagen finns några av villkoren uppräknade som undantag till huvudregeln i 33 § att personuppgifter inte får överföras till tredjeland utan adekvat skyddsnivå. Bestämmelsen i 34 § personuppgiftslagen omfattar inte undan- tag som motiveras av viktiga allmänna intressen. Av artikel 26.1 d i dataskyddsdirektivet följer dock att om överföringen är nödvändig eller bindande enligt författning kan skäl som rör viktiga allmänna intressen utgöra grund för överföring av personuppgifter till tredje- land. Undantag som grundar sig på viktiga allmänna intressen – eller i övrigt i andra fall än som avses i 34 § personuppgiftslagen – måste alltså framgå av annan författning än personuppgiftslagen, eftersom förbudet mot överföring i 33 § personuppgiftslagen annars gäller. Av detta skäl finns det ibland bestämmelser i register- författningar som tillåter överföring av personuppgifter till tredje- land. I 35 § andra stycket personuppgiftslagen bemyndigas också regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från förbudet i 33 §, om det be- hövs med hänsyn till ett viktigt allmänt intresse. Av artikel 49.3 i dataskyddsförordningen framgår att åtgärder som vidtas av offentliga myndigheter som ett led i myndighets- utövning inte får vidtas med stöd av samtycke eller för att överfö- ringen är nödvändig för att fullgöra ett avtal mellan den person- uppgiftsansvarige och den registrerade eller en annan fysisk eller juridisk person som agerar i den registrerades intresse. Detta är nytt i förhållande till dataskyddsdirektivet. Nytt är också kravet på att allmänintresset, om överföringen sker för att den är nödvändig av viktiga skäl som rör allmänintresset, enligt artikel 49.4 i data- skyddsförordningen ska vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av. I artikel 49.5 i dataskyddsförordningen ges möjlighet att i unions- rätten eller medlemsstaternas nationella rätt med hänsyn till viktiga allmänintressen uttryckligen fastställa gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland eller en internationell organisation, om beslut om adekvat skyddsnivå saknas. Om en överföring inte har stöd i artikel 45 eller 46 och inget av undantagen i artikel 49.1 första stycket i dataskyddsförordningen är tillämpligt, får en överföring till ett tredjeland eller en interna- Allmänt om befintliga bestämmelser tionell organisation enligt artikel 49.1 andra stycket äga rum endast om överföringen inte är repetitiv, endast gäller ett begränsat antal registrerade, är nödvändig för ändamål som rör den personuppgifts- ansvariges tvingande berättigade intressen och den registrerades intressen eller rättigheter och friheter inte väger tyngre, och den personuppgiftsansvarige har bedömt samtliga omständigheter kring överföringen av uppgifter och på grundval av denna bedömning vidtagit lämpliga skyddsåtgärder för att skydda personuppgifter. Dataskyddsförordningens bestämmelser om överföring till tredje- land är direkt tillämpliga och medför inte något behov av nationella bestämmelser som tillåter överföring av personuppgifter till tredje- land. En bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har dock en klargörande verkan och får anses vara en sådan mer specifik, eller särskild, be- stämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 c och e i dataskyddsförordningen. Bestämmelser i register- författningar som anger när överföring av personuppgifter till tredje- land är tillåten behöver därför inte ändras under förutsättning att de i sak inte strider mot dataskyddsförordningen. Enligt artikel 96 i dataskyddsförordningen ska de internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före och som är förenliga med unionsrätten i dess lydelse innan detta datum, fortsätta att gälla tills de ändras, ersätts eller återkallas. Det innebär att det inte med anledning av data- skyddsförordningen krävs någon anpassning av författningar om tillämpning av konventioner om t.ex. social trygghet, även om för- fattningarna reglerar överföring av personuppgifter till tredjeland. Allmänt om befintliga bestämmelser 9.15.1Utökade rättigheter för registrerade Utredningens bedömning: Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska inne- hålla fler upplysningar än vad som följer av dataskyddsförord- ningen kan och bör behållas om skyldigheten avser myndigheter eller den ursprungliga behandlingen grundas på att den är nöd- vändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Krav på infor- mation till registrerade som motsvarar krav som finns i data- skyddsförordningen bör tas bort. Bestämmelserna bör kom- pletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Bestämmelser i registerförfattningar som hänvisar till person- uppgiftslagens bestämmelser om rättelse bör upphävas. Information som ska lämnas självmant Av artikel 13.1 i dataskyddsförordningen följer att om personupp- gifter samlas in från den registrerade, ska den personuppgiftsansva- rige, när personuppgifterna erhålls, till den registrerade lämna viss information om den personuppgiftsansvarige, dataskyddsombudet, ändamål och rättslig grund för behandlingen, de intressen som en eventuell behandling som sker med stöd av en intresseavvägning enligt artikel 6.1 f baseras på, mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna samt uppgifter om överföring till tredjeland eller en internationell organisation. Vidare följer av artikel 13.2 i dataskyddsförordningen att information ska lämnas om lagringstid, uppgift om den registrerades rätt till till- gång, rättelse, radering, begränsning av behandling, invändning mot behandling och dataportabilitet, rätten att – om behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a – åter- kalla samtycket utan att detta påverkar lagligheten av behandling som skett innan samtycket återkallades, rätten att inge klagomål till Allmänt om befintliga bestämmelser en tillsynsmyndighet, uppgift om huruvida den registrerade är skyl- dig att tillhandahålla personuppgifterna och följderna av att uppgif- terna inte lämnas samt uppgift om automatiserat beslutsfattande, inbegripet profilering. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de samlades in, ska den personuppgiftsansvarige enligt artikel 13.3 i dataskyddsförordningen före den behandlingen ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2. Punkterna 1, 2 och 3 ska enligt artikel 13.4 i dataskyddsförordningen inte tillämpas om den regi- strerade redan förfogar över informationen. Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Utöver den information som anges i artikel 13 ska även information om de kategorier av person- uppgifter som behandlingen gäller lämnas. I stället för information om skyldigheten att tillhandahålla personuppgifterna gäller att infor- mation ska lämnas om varifrån uppgifterna kommer. När det gäller den tidpunkt inom vilken informationen ska lämnas anges i arti- kel 14.3 i dataskyddsförordningen att den personuppgiftsansvarige ska lämna informationen inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personupp- gifterna behandlas. Det finns också möjlighet att lämna informa- tion först för den första kommunikationen med den registrerade eller först när personuppgifterna lämnas ut . Information behöver inte lämnas om den registrerade redan har tillgång till informationen. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål, eller i den mån informations- skyldigheten sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen. I sådana fall ska den personuppgiftsansvarige vidta lämpliga skyddsåtgärder. Om erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, behöver information inte heller lämnas. Allmänt om befintliga bestämmelser Information ska inte heller lämnas om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser. Av artikel 12.1 i dataskyddsförordningen följer att den person- uppgiftsansvarige ska tillhandahålla informationen i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det, får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt. Regleringen i den föreslagna dataskyddslagen har föreslagit att ett undantag från skyldig- heten att lämna information enligt artikel 13 och 14 i dataskydds- förordningen ska införas i 5 kap. 1 § dataskyddslagen.