sou · H5B366 · 2017-08-31 00:00:00 — om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.48 Liksom enligt motsvarande bestämmelse i personupp- giftslagen ska begränsningen inte gälla för en myndighets använd- ning av personuppgifter i allmänna handlingar. Utredningens bedömning: Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande behöver inte ändras i sak. Detta gäller under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen eller därför att bestämmelserna endast avser myndigheters behandling av personuppgifter. Formuleringar i registerförfattningarna om bevarande av per- sonuppgifter för historiska, statistiska eller vetenskapliga ända- mål bör ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Huvudregeln enligt artikel 5.1 e i dataskyddsförordningen är att personuppgifter inte får lagras i en form som möjliggör identifier- ing av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Samma prin- cip gäller enligt artikel 6.1 e dataskyddsdirektivet. Huvudregeln har således inte ändrats. Bestämmelser i registerförfattningar som innebär att person- uppgifter ska eller får bevaras alternativt gallras eller när de är nödvändiga för de ändamål för vilka de behandlas, är enligt utredningens bedömning sådana natio- nella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i 48 SOU 2017:39. Allmänt om befintliga bestämmelser bedömningar av vilka tidsperioder som är nödvändiga för ändamålet behöver inte göras om med an- ledning av dataskyddsförordningen. Om registerförfattningar innehåller bemyndiganden som ger regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter om att uppgifter får bevaras för och för ett visst ändamål, berörs inte dessa av dataskyddsförordningen, eftersom de inte i sig föreskriver bevarande. Däremot kan bemyn- digandet förstås bara användas på ett sådant sätt som är tillåtet en- ligt dataskyddsförordningen. Särskilda regler gäller enligt artikel 5.1 e i dataskyddsförord- ningen om personuppgifter enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Den nuvarande formuleringen i data- skyddsdirektivet och personuppgiftslagen om historiska, statistiska eller vetenskapliga ändamål har i dataskyddsförordningen ändrats till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt utred- ningens bedömning innebär omformuleringen inte någon ändring i sak. Om personuppgifter behandlas enbart för ovan angivna ända- mål, får de lagras under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registre- rades rättigheter och friheter. I artikel 89.1 i dataskyddsförord- ningen anges att skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt princi- pen om uppgiftsminimering iakttas (att personuppgifterna är ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas). Vidare framgår av samma artikel att personuppgifter ska avidentifieras i den mån det är möjligt. Även enligt dataskyddsdirektivet ska medlemsstaterna vidta lämpliga skydds- åtgärder för de personuppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Kravet på skyddsåtgärder är således inte nytt och principerna om uppgifts- minimering respektive avidentifiering finns även i dataskyddsdirek- tivet. Om registerförfattningar innehåller bestämmelser rörande behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål, får det mot bakgrund av detta förutsättas att Allmänt om befintliga bestämmelser tillräckliga skyddsåtgärder redan framgår av registerförfattningarna eller de föreskrifter som medger bevarandet. Av artikel 9.2 j i dataskyddsförordningen framgår att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestäm- melsen är ny i förhållande till dataskyddsdirektivet och innebär att behandling av känsliga personuppgifter för nämnda ändamål förut- sätter stöd i nationell rätt och bestämmelser om skyddsåtgärder. Som anges i avsnitt 9.17.1 har med stöd av den bestämmelsen föreslagit att ett undantag avseende arkiverade personuppgifter ska införas i dataskyddslagen. I registerförfattningar finns det ibland bemyndiganden att med- dela föreskrifter om bevarande av känsliga personuppgifter för dessa ändamål. Dessa bemyndiganden brukar avse att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål. Oavsett vad kravet på grundval i lagstiftningen i artikel 9.2 j i dataskyddsförordningen innebär kan sådana bemyndi- ganden kvarstå oförändrade. När föreskrifter om bevarande med- delas med stöd av bemyndigandena, måste det givetvis ses till att föreskrifterna, i enlighet med artikel 9.2 j i dataskyddsförord- ningen, står i proportion till det eftersträvade syftet och är fören- liga med det väsentliga innehållet i rätten till dataskydd samt, om så krävs, innehåller bestämmelser om skyddsåtgärder utöver de som kan vara tillämpliga enligt registerförfattningen. Bestämmelser i registerförfattningar om gallring och bemyndi- ganden att meddela föreskrifter om bevarande för historiska, sta- tistiska eller vetenskapliga ändamål behöver alltså inte ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Allmänt om befintliga bestämmelser Mot bakgrund av tolkningen att den ändrade formuleringen av historiska, statistiska eller vetenskapliga ändamål inte medför någon ändring i sak samt behovet av att fortsätta att anknyta till formu- leringen i den generella dataskyddsregleringen, är det bäst att anpassa formuleringarna i registerförfattningarna till den som används i data- skyddsförordningen. Utredningens bedömning: Det finns inget behov av bestäm- melser om tillsyn i registerförfattningar. I artikel 28 i dataskyddsdirektivet finns det bestämmelser om till- synsmyndighet för att övervaka tillämpningen av de bestämmelser som medlemsstaterna antagit till följd av dataskyddsdirektivet. Datainspektionen är enligt 2 a § förordningen (2007:975) med in- struktion för Datainspektionen tillsynsmyndighet enligt artikel 28 i dataskyddsdirektivet. Av 43 § personuppgiftslagen framgår att till- synsmyndigheten har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och doku- mentation av behandlingen av personuppgifter och säkerheten vid denna, och tillträde till sådana lokaler som har anknytning till be- handlingen av personuppgifter. Enligt 44–46 §§ personuppgifts- lagen får tillsynsmyndigheten under vissa förutsättningar använda sig av vite i anslutning till tillsyn. Enligt 2 § personuppgiftsförord- ningen är Datainspektionen tillsynsmyndighet enligt personupp- giftslagen. Registerförfattningarna inom verk- samhetsområde innehåller inte bestämmelser om tillsyn. Dataskyddsförordningen innehåller mer detaljerat reglerade be- fogenheter för tillsynsmyndigheten än dataskyddsdirektivet och personuppgiftslagen. utredningsbefogenheter anges i artikel 58.1 i dataskyddsförordningen och motsvarar de befogenheter som föreskrivs i personuppgiftslagen. De s.k. korri- gerande befogenheterna, som framgår av artikel 58.2 i dataskydds- förordningen, har dock utökats i förhållande till vad som gäller enligt personuppgiftslagen. Bestämmelsen innebär att tillsynsmyndig- heten bl.a. kan utfärda varningar, reprimander och olika förelägg- Allmänt om befintliga bestämmelser kan också påföra administrativa sank- tionsavgifter, se avsnitt 9.19.2. har utrett konsekvenserna av dataskydds- förordningens bestämmelser om tillsyn och föreslagit komplette- rande bestämmelser. Av 6 kap. 1 § förslaget till dataskyddslag följer att tillsynsmyndighetens befogenheter enligt dataskyddsförord- ningen ska gälla även vid tillsyn över efterlevnaden av bestämmel- serna i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen.49 Därför behöver bestämmelsernas konse- kvenser inom verksamhetsområde inte analy- seras. Det behövs inte heller särskilda bestämmelser om tillsyn i de registerförfattningar som omfattas av översynen. Utredningens bedömning: Bestämmelser i registerförfattningar som hänvisar till personuppgiftslagens bestämmelser om skade- stånd bör upphävas. I stället för särskilt utformade bestämmelser om skadestånd inne- håller registerförfattningar ofta hänvisningar till personuppgifts- lagens bestämmelser om skadestånd. Av 48 § personuppgiftslagen framgår att den personuppgifts- ansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personupp- giftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelsen är utformad i enlighet med artikel 23 i dataskydds- direktivet. I dataskyddsförordningen finns bestämmelser om ansvar och rätt till ersättning i artikel 82. Enligt artikel 82.1 i dataskyddsför- ordningen ska varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ha rätt 49 SOU 2017:39 s. 310–319. Allmänt om befintliga bestämmelser till ersättning från den personuppgiftsansvarige eller personupp- giftsbiträdet för den uppkomna skadan. En nyhet är alltså att även ett personuppgiftsbiträde kan bli skadeståndsskyldigt gentemot den registrerade. Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot dataskyddsförordningen. Ett personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. Begreppet skada bör enligt skäl 146 till dataskyddsförordningen tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar dataskyddsförordningens mål. Vidare anges i samma skäl att behandling som strider mot dataskyddsförord- ningen omfattar även behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskydds- förordningen och medlemsstaternas nationella rätt med närmare specifikation av dataskyddsförordningens bestämmelser. Dataskydds- utredningen förtydligar detta genom att i 8 kap. 1 § förslaget till dataskyddslag ange att rätten till ersättning enligt artikel 82 i data- skyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar data- skyddsförordningen.50 Den personuppgiftsansvarige eller personuppgiftsbiträdet ska enligt artikel 82.3 i dataskyddsförordningen undgå ansvar om de visar att de inte på något sätt är ansvariga för den händelse som orsakade skadan. Det finns i artikel 82.4 och 5 i dataskyddsförord- ningen bestämmelser om att skadeståndsansvaret är solidariskt om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde har medverkat vid samma behandling samt i artikel 82.6 i dataskydds- förordningen en bestämmelse om vilken domstol som är behörig att pröva en tvist om rätten till ersättning. Skälet till att det i registerförfattningar som regel finns en hän- visning till personuppgiftslagens bestämmelser om skadestånd är att bestämmelserna annars inte skulle vara tillämpliga. Enligt 48 § personuppgiftslagen är skadeståndsskyldigheten kopplad till en behandling av personuppgifter i strid med denna lag, dvs. 50 SOU 2017:39. Allmänt om befintliga bestämmelser För att bestämmelsen ska vara tillämplig även vid behandling i strid med registerförfattningar, krävs att den anges gälla på motsvarande sätt vid behandling av personuppgifter enligt den aktuella författningen. Till skillnad från vad som gäller enligt personuppgiftslagen är dataskyddsförordningen, inom sitt tillämp- ningsområde, direkt tillämplig även på sådan behandling av person- uppgifter som omfattas av en registerförfattnings tillämpnings- område och det behövs av den anledningen ingen hänvisning till dess bestämmelser. Dessutom föreslås som nämnts att det i data- skyddslagen ska finnas en hänvisning till dataskyddsförordningens skadeståndsbestämmelse, som omfattar alla författningar som kompletterar dataskyddsförordningen. Den hänvisningen/upplys- ningen kan inte anses avse annat än skada som uppkommer vid sådan behandling av personuppgifter som omfattas av dataskydds- förordningen. I den utsträckning en författning har bestämmelser om både sådan behandling och annat, blir således inte överträdelser av dessa andra bestämmelser förknippade med skadeståndsskyldig- het enligt dataskyddsregleringen. Några registerförfattningar inom verksam- hetsområde – patientdatalagen och 114 kap. socialförsäkringsbalken samt förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen – omfattar i tillämpliga delar behandling av uppgifter om avlidna personer, som inte omfattas av dataskyddsförordningen (se skäl 27 till dataskydds- förordningen) eller den föreslagna dataskyddslagen. Bestämmelserna om skadestånd i dessa författningar är dock inte tillämpliga vid behandling av uppgifter om avlidna personer, och dataskydds- regleringens skadeståndsbestämmelser kommer som framgått inte heller att gälla vid sådan behandling när dataskyddsförordningen börjar tillämpas. föreslår i 1 kap. 2 § förslaget till data- skyddslag att dataskyddsförordningen i tillämpliga delar ska gälla även vid sådan behandling av personuppgifter som inte omfattas av dataskyddsförordningen, dvs. verksamhet som inte omfattas av unionsrätten och verksamhet som utförs inom ramen för den gemensamma utrikes- och säkerhetspolitiken.51 Den bestämmelsen, jämte hänvisningen till bestämmelsen om skadestånd i dataskydds- 51 SOU 2017:39. Allmänt om befintliga bestämmelser förordningen, får anses innebära att även brott mot bestämmelser i en registerförfattning om sådan behandling av personuppgifter som faller utanför dataskyddsförordningens tillämpningsområde men som genom den föreslagna bestämmelsen i dataskyddslagen ändå ska omfattas av dataskyddsförordningen, kan föranleda skadestånd. Överträdelser av bestämmelser som avser sådan behandling som i och för sig omfattas av dataskyddsförordningen, men där rättig- heterna går utöver vad som krävs enligt dataskyddsförordningen, kan också föranleda rätt till skadestånd enligt artikel 82 i data- skyddsförordningen. Det handlar t.ex. om överträdelser av bestäm- melser om information, där kraven på den information som ska lämnas går utöver vad som krävs enligt dataskyddsförordningen. Det saknas sammantaget skäl att i registerförfattningar särskilt reglera vad som gäller i fråga om skadestånd vid behandling av person- uppgifter. Bestämmelser i registerförfattningar med hänvisningar till personuppgiftslagens bestämmelser om skadestånd bör därför upphävas. Av avsnitt 10.1.1 framgår att det krävs ytterligare överväganden om tillämpliga bestämmelser vid behandling av personuppgifter inom rättspsykiatrisk vård, som inte omfattas av dataskyddsförord- ningen men som föreslås i viss utsträckning regleras av patient- datalagen. Utredningens bedömning: Dataskyddsförordningen föranleder inget behov av nya bestämmelser om administrativa sanktions- avgifter i registerförfattningar. kan som en av sina befogenheter enligt arti- kel 58.1–3 i dataskyddsförordningen påföra personuppgiftsansva- riga och personuppgiftsbiträden administrativa sanktionsavgifter i enlighet med artikel 83 vid överträdelser av olika bestämmelser i dataskyddsförordningen. Detta är en ny möjlighet som införs i och med att dataskyddsförordningen ska börja tillämpas. I 6 kap. 1 § förslaget till dataskyddslag föreslår Dataskydds- utredningen att de befogenheter som tillsynsmyndigheten har en- ligt artikel 58.1–3 i dataskyddsförordningen även ska gälla vid tillsyn Allmänt om befintliga bestämmelser över efterlevnaden av bestämmelserna i den föreslagna lagen och andra författningar som kompletterar dataskyddsförordningen.52 kommer alltså att på det sätt som krävs enligt dataskyddsförordningen kunna utfärda administrativa sanktions- avgifter vid överträdelser av dataskyddsförordningen även inom registerförfattningarnas tillämpningsområden utan att det behövs särskilda bestämmelser om det i dessa författningar. Enligt artikel 83.2 i dataskyddsförordningen ska administrativa sanktionsavgifter, beroende av omständigheterna i det enskilda fallet, påföras utöver eller i stället för sådana åtgärder som tillsyns- myndigheten i övrigt kan vidta i form av varningar, reprimander, förlägganden, förbud etc. Olika faktorer, däribland överträdelsens karaktär, svårighetsgrad, varaktighet, omfattning och syfte, ska be- aktas både vid beslut om huruvida administrativa sanktionsavgifter ska påföras och när avgifternas belopp ska fastställas. Överträdelser av bestämmelser i dataskyddsförordningen som kan föranleda administrativa sanktionsavgifter är kategoriserade utifrån olika svårighetsgrad. För vissa mindre allvarliga överträdelser gäller ett maxbelopp på eller av den globala årsomsättningen om det gäller ett företag. För allvarligare över- trädelser föreskrivs i stället ett maxbelopp på eller av den globala årsomsättningen. Det lägre maxbeloppet gäller i enlighet med artikel 83.4 i data- skyddsförordningen för överträdelser av följande bestämmelser: •Personuppgiftsansvarigas och personuppgiftsbiträdens skyldig- heter enligt artiklarna 8, 11, 25–39, 42 och 43. •Certifieringsorganets skyldigheter enligt artiklarna 42 och 43. •Övervakningsorganets skyldigheter enligt artikel 41.4. Det högre maxbeloppet gäller i enlighet med artikel 84.5 för över- trädelser av följande bestämmelser: •De grundläggande principerna för behandling, inklusive villko- ren för samtycke, enligt artiklarna 5, 6, 7 och 9. •Registrerades rättigheter enligt artiklarna 12–22. 52 SOU 2017:39. Allmänt om befintliga bestämmelser •Överföring av personuppgifter till en mottagare i ett tredjeland eller en internationell organisation enligt artiklarna 44–49. •Alla skyldigheter som följer av medlemsstaternas lagstiftning som antagits på grundval av kapitel IX. •Underlåtenhet att rätta sig efter ett föreläggande eller en till- fällig eller permanent begränsning av behandling av uppgifter eller ett beslut om att avbryta uppgiftsflödena som meddelats av tillsynsmyndigheten i enlighet med artikel 58.2 eller underlåtelse att ge tillgång till uppgifter i strid med artikel 58.1. Uppräkningen i artikel 83 i dataskyddsförordningen är uttöm- mande. Eftersom endast överträdelser av nationell lagstiftning som antagits på grundval av kapitel IX omnämns i artikeln, kan sank- tionsavgifter enligt samma artikel, i enlighet med vad Dataskydds- utredningen konstaterat, påföras endast vid överträdelser av sådana nationella bestämmelser.53 En överträdelse av en bestämmelse i natio- nell lagstiftning som innebär en överträdelse av data- skyddsförordningens bestämmelser bör dock enligt utredningens bedömning omfattas av möjligheten att påföra administrativa sank- tionsavgifter i enlighet med artikel 83 i dataskyddsförordningen. Vid överträdelse av flera olika bestämmelser får den administra- tiva sanktionsavgiftens totala belopp enligt artikel 83.3 i data- skyddsförordningen inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Medlemsstaterna har i artikel 83.7 i dataskyddsförordningen getts möjlighet att själva avgöra om och i vilken utsträckning admi- nistrativa sanktionsavgifter ska kunna påföras offentliga myndig- heter och organ som är inrättade i medlemsstaten. Dataskydds- utredningen har mot bakgrund av detta föreslagit att ett beslut om sanktionsavgifter ska få riktas även mot statliga och kommunala myndigheter.54 Utredningen godtar, på verk- samhetsområde, bedömning att även myn- digheter bör kunna utsättas för administrativa sanktionsavgifter. Medlemsstaterna ska dessutom enligt artikel 84 i dataskydds- förordningen fastställa regler om andra sanktioner för överträdelser 53SOU 2017:39 s. 377. 54SOU 2017:39 s. 287. Allmänt om befintliga bestämmelser av dataskyddsförordningen, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83. Data- skyddsutredningen gör tolkningen att detta innebär att det åligger medlemsstaterna att täppa till eventuella luckor om sanktioner saknas enligt förordningen.55 Eftersom artikel 10, som avser möjlig- heterna att behandla uppgifter om lagöverträdelser, inte omnämns i artikel 83 i dataskyddsförordningen, har med stöd av artikel 84 föreslagit att tillsynsmyndigheten ska kunna påföra administrativa sanktionsavgifter enligt artikel 83 även vid överträdelser av artikel 10. Avgiftens storlek ska enligt förslaget bestämmas inom ramen för det högre maxbelopp som gäller för överträdelser av bl.a. bestämmelserna om känsliga personuppgifter.56 Skyldigheten att fastställa regler om sanktioner för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt arti- kel 83 i dataskyddsförordningen medför att det kan finnas ett be- hov av att fastställa sanktionsbestämmelser även i registerförfatt- ningar. Skyldigheten omfattar dock endast överträdelser av data- skyddsförordningen. Om en registerförfattning reglerar en skyldig- het att exempelvis lämna mer information än vad som krävs enligt dataskyddsförordningen, medför artikel 84 i dataskyddsförordningen ingen skyldighet att fastställa regler om sanktioner för överträdelser av den utökade informationsskyldigheten. Vid överträdelser av be- stämmelser i de registerförfattningar som omfattas av utredningens översyn, som innebär en överträdelse av dataskydds- förordningens bestämmelser, är det dock som nämnts utredningens bedömning att det är möjligt att påföra administrativa sanktions- avgifter i enlighet med artikel 83 i dataskyddsförordningen. Dataskyddsförordningen föranleder sammantaget inget behov av nya bestämmelser om administrativa sanktionsavgifter i register- författningar. 55SOU 2017 :39 s. 292. 56SOU 2017:39 s. 294–295. Allmänt om befintliga bestämmelser Utredningens bedömning: Det finns inget behov av nya be- stämmelser i registerförfattningar med anledning av att person- uppgiftslagens bestämmelser om straff och vite upphävs. Personuppgiftslagens bestämmelser om straff (49 §) och vite (44–46 §§) upphör att gälla i och med att personuppgiftslagen upphävs när dataskyddsförordningen ska börja tillämpas.